1/12
Expediente N.º: EXP202204631
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: D.ª A.A.A., en nombre y representación de D. B.B.B., D. C.C.C., D. D.D.D.
y D. E.E.E. (en adelante, la parte reclamante), en fecha 16 de marzo de 2022,
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra el SINDICATO ARAGONES DE TRABAJADORES DEL
TRANSPORTE, con NIF G99300667 (en adelante, la parte reclamada).
Los reclamantes son miembros del comité de huelga en el marco de un conflicto
colectivo existente entre la empresa Avanza Zaragoza SAU y sus trabajadores. Los
motivos en que basan la reclamación son los siguientes:
Exponen que, con motivo de un conflicto colectivo surgido entre trabajadores y
empresa, el día 11 de febrero de 2022, la parte reclamada publicó en redes sociales
(Facebook, Twitter) y en su página web, un documento en el que aparecían los datos
personales (nombre, apellidos y DNI) de los miembros del comité de huelga.
La mencionada publicación con los datos personales de los afectados estuvo, al
parecer, al menos media hora visible al alcance de cualquier persona. Posteriormente
la publicación fue rectificada, como consecuencia de las quejas vertidas.
Junto a la reclamación se aporta copia de la publicación, así como impresión de
pantalla de una conversación de WhatsApp en la que se pone de manifiesto entre los
trabajadores la citada publicación, así como el hecho de que estuvo disponible
públicamente media hora.
Se ha anexado la publicación tal y como figura actualmente disponible, constando
difuminados los datos personales de los afectados (***URL.1)
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada
conforme a lo previsto en el art. 43.2 de la LPACAP, en fecha 2 de mayo de 2022,
como consta en el certificado que obra en el expediente.
Aunque la notificación se practicó válidamente por medios electrónicos, dándose por
efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título
informativo se envió una copia por correo postal que fue devuelta por el Servicio de
Correos, en fecha 16 de mayo de 2022, por ausente en horas de reparto. En dicha
notificación, se le recordaba su obligación de relacionarse electrónicamente con la
Administración, y se le informaba de los medios de acceso a dichas notificaciones,
reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios
electrónicos.
En fecha 27 de mayo de 2022, se reiteró el traslado por correo postal certificado, que
nuevamente fue devuelto por “ausente”, en fecha 7 de junio de 2022.
No se ha recibido respuesta a este escrito de traslado.
TERCERO: En fecha 16 de junio de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se comunica la admisión a trámite de la reclamación presentada por la
parte reclamante.
CUARTO: En fecha 10 de agosto de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del artículo 5.1.f) del RGPD y artículo 32 del RGPD,
tipificados en los artículos 83.5 y 83.4 del RGPD, respectivamente
El acuerdo de inicio fue enviado vía postal y devuelto por el Servicio de Correos por
“desconocido”, procediendo a su publicación en el Boletín Oficial del Estado, en fecha
31 de agosto de 2022, de acuerdo con lo establecido en el artículo 44 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administra-
ciones Públicas.
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado
para la formulación de alegaciones, se ha constatado que no se ha recibido alegación
alguna por la parte reclamada.
El artículo 64.2.f) de la LPACAP -disposición de la que se informó a la parte reclamada
en el acuerdo de apertura del procedimiento- establece que si no se efectúan
alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando
éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada,
podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de
inicio del expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría
imponerse. Por ello, tomando en consideración que la parte reclamada no ha
formulado alegaciones al acuerdo de inicio del expediente y en atención a lo
establecido en el artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es
considerado en el presente caso propuesta de resolución.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: Consta que en fecha 16 de marzo de 2022, la parte reclamante interpuso
reclamación ante la Agencia Española de Protección de Datos, toda vez que la parte
reclamada reveló información y datos de carácter personal a terceros, sin base jurídica
legitimadora para ello, al publicar en redes sociales, un documento en el que
aparecían los datos personales (nombre, apellidos y DNI) de los miembros del comité
de huelga.
SEGUNDO: Consta copia de la publicación, así como impresión de pantalla de una
conversación de WhatsApp en la que se pone de manifiesto entre los trabajadores la
citada publicación.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento, la Directora de la Agencia Española de
Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que el SINDICATO
ARAGONÉS DE TRABAJADORES DEL TRANSPORTE, en el ejercicio de su actividad
sindical y asesoría, realiza tratamientos de datos personales en su relación con los
afiliados.
Realiza esta actividad en su condición de responsable del tratamiento, dado que es
quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD:
«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y
medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determi-
na los fines y medios del tratamiento, el responsable del tratamiento o los criterios es-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
pecíficos para su nombramiento podrá establecerlos el Derecho de la Unión o de los
Estados miembros.
El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de se-
guridad de los datos personales” (en adelante brecha de seguridad) como “todas
aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o altera-
ción accidental o ilícita de datos personales transmitidos, conservados o tratados de
otra forma, o la comunicación o acceso no autorizados a dichos datos.”
En el presente caso, consta una brecha de seguridad de datos personales en las
circunstancias arriba indicadas, categorizada como una brecha de confidencialidad,
toda vez que la parte reclamada ha revelado información y datos de carácter personal
a terceros, sin base jurídica legitimadora para ello, al publicar en redes sociales, un
documento en el que aparecían los datos personales (nombre, apellidos y DNI) de los
miembros del comité de huelga, con los efectos multiplicadores que el uso de las
redes sociales puede tener para su visibilidad.
Según el GT29 se produce una “Violación de la confidencialidad” cuando se produce
una revelación no autorizada o accidental de los datos personales, o el acceso a los
mismos.
Hay que señalar que la identificación de una brecha de seguridad no implica la imposi-
ción de una sanción de forma directa por esta Agencia, ya que es necesario analizar la
diligencia de responsables y encargados y las medidas de seguridad aplicadas.
Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la
integridad y confidencialidad de los datos personales se garantiza en el apartado 1.f)
del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene
regulada en el artículo 32 del RGPD.
III
Artículo 5.1.f) del RGPD
Establece el artículo 5.1.f) del RGPD lo siguiente:
“Artículo 5 Principios relativos al tratamiento:
1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).”
En relación con este principio, el Considerando 39 del referido RGPD señala que:
“[…]Los datos personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso
o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
La documentación obrante en el expediente ofrece indicios evidentes de que el
reclamado vulneró el artículo 5.1 f) del RGPD, principios relativos al tratamiento.
El post expuesto por la parte reclamada en las redes sociales supone un tratamiento
automatizado que, utilizando la infraestructura de dichas redes, da a conocer unos
hechos y unos datos que permiten identificar a los reclamantes a través de la
información expuesta, siendo además dicha infraestructura un medio en el que se
pueden multiplicar sus efectos al compartir otros usuarios la noticia.
En consecuencia, se considera que los hechos acreditados son constitutivos de
infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.f) del
RGPD.
IV
Tipificación de la infracción del artículo 5.1.f) del RGPD
La citada infracción del artículo 5.1.f) del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”
V
Artículo 32 del RGPD
Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.
De la documentación obrante en el expediente se ofrecen indicios evidentes de que el
reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguri-
dad al publicar un documento en el que aparecían los datos personales (nombre, ape-
llidos y DNI) de los miembros del comité de huelga, sin disponer de las medidas técni-
cas y organizativas apropiadas.
Hay que señalar que el RGPD en el citado precepto no establece un listado de las
medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto
de tratamiento, sino que establece que el responsable y el encargado del tratamiento
aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve
el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la
naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad
y gravedad para los derechos y libertades de las personas interesadas.
Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al
riesgo detectado, señalando que la determinación de las medidas técnicas y
organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la
capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso
de verificación (que no auditoría), evaluación y valoración de la eficacia de las
medidas.
En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.
En este mismo sentido el considerando 83 del RGPD señala que:
“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo
dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar
los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el
cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.
La responsabilidad del reclamado viene determinada por la falta de medidas de
seguridad, ya que es responsable de tomar decisiones destinadas a implementar de
manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un
nivel de seguridad adecuado al riesgo para asegurar la confidencialidad de los datos,
restaurando su disponibilidad e impedir el acceso a los mismos en caso de incidente
físico o técnico. Sin embargo, de la documentación aportada se desprende que la
entidad no solo ha incumplido esta obligación, sino que además se desconoce la
adopción de medidas al respecto, a pesar de haberle dado traslado de la reclamación
presentada.
Por tanto, los hechos acreditados son constitutivos de una infracción, imputable a la
parte reclamada, por vulneración del artículo 32 RGPD.
VI
Tipificación de la infracción del artículo 32 del RGPD
La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al
riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del
Reglamento (UE) 2016/679.”
VII
Sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturale-
za, alcance o propósito de la operación de tratamiento de que se trate, así como el nú-
mero de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para pa-
liar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habi-
da cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en parti-
cular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medi-
da; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordena-
das previamente contra el responsable o el encargado de que se trate en relación con
el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certi-
ficación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirecta-
mente, a través de la infracción.”
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa
es de 2.000 € por infracción del artículo 5.1 f) del RGPD, respecto a la vulneración del
principio de confidencialidad y de 1.000 € por infracción del artículo 32 del citado
RGPD, respecto a la seguridad del tratamiento de los datos personales.
VIII
Responsabilidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
Establece la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en
el Capítulo III relativo a los “Principios de la Potestad sancionadora”, en el artículo 28
la bajo la rúbrica “Responsabilidad”, lo siguiente:
“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”
La falta de diligencia a la hora de implementar las medidas apropiadas de seguridad
con la consecuencia del quebranto del principio de confidencialidad constituye el
elemento de la culpabilidad.
IX
Medidas
Asimismo, procede imponer la medida correctiva descrita en el artículo 58.2.d) del
RGPD y ordenar a la parte reclamada que, en el plazo de un mes, establezca las
medidas de seguridad adecuadas para que se adecúen los tratamientos a las
exigencias contempladas en los artículos 5.1 f) y 32 del RGPD, impidiendo que se
produzcan situaciones similares en el futuro.
En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y
los hechos que han dado lugar a la vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER al SINDICATO ARAGONÉS DE TRABAJADORES DEL
TRANSPORTE, con NIF G99300667,
- por una infracción del artículo 5.1.f) del RGPD, tipificada conforme a lo dispuesto en
el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción en el
artículo 72.1 a) de la LOPDGDD, una multa de 2.000 €.
- por una infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el
artículo 83.4 del RGPD, calificada como grave a efectos de prescripción en el artículo
73 f) de la LOPDGDD, una multa de 1.000 €.
SEGUNDO: REQUERIR al SINDICATO ARAGONÉS DE TRABAJADORES DEL
TRANSPORTE, con NIF G99300667 que implante, en el plazo de un mes, las medidas
correctoras necesarias para adecuar su actuación a la normativa de protección de
datos personales, que impidan que en el futuro se repitan hechos similares, así como
que informe a esta Agencia, en el mismo plazo, sobre las medidas adoptadas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
TERCERO: NOTIFICAR la presente resolución al SINDICATO ARAGONÉS DE
TRABAJADORES DEL TRANSPORTE.
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
00000000000), abierta a nombre de la Agencia Española de Protección de Datos en la
entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación
en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-181022
Mar España Martí
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es