1/12
Procedimiento Nº: PS/00274/2019
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 04/04/2019 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra CENTRAL SINDICAL INDEPENDIENTE Y DE FUNCIONARIOS CSI-
CSIF, con NIF G79514378 (en adelante, el reclamado). Los motivos en que basa la
reclamación son, en síntesis, los siguientes:
La delegada sindical del CSIF ha publicado en un grupo abierto de whatsapp en el que
se encuentran casi todos los trabajadores de la Unidad Central de Radiodiagnóstico de
la Comunidad de Madrid, un listado del censo electoral que era de publicidad exclusiva
para los sindicatos y en dicho listado figuran datos como el DNI de todos los votantes
que forman el personal estatutario.
SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de
Inspección de Datos procedió a realizar las siguientes actuaciones:
El 07/05/2019, fue trasladada al reclamado la reclamación presentada para su análisis
y comunicación a la denunciante de la decisión adoptada al respecto. Igualmente, se
le requería para que en el plazo de un mes remitiera a la Agencia determinada
información:
- Copia de las comunicaciones, de la decisión adoptada que haya remitido al
reclamante a propósito del traslado de esta reclamación, y acreditación de que
el reclamante ha recibido la comunicación de esa decisión.
- Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.
- Informe sobre las medidas adoptadas para evitar que se produzcan
incidencias similares.
- Cualquier otra que considere relevante.
En la misma fecha se les comunicaba a los reclamantes la recepción de sus
reclamaciones y su traslado a la entidad reclamada.
El 24/05/2019 el DPD del CSIF trasladó escrito en el que manifestaba que basándose
en lo dispuesto en los artículos 14 y 18 del RD 1846/1994 por el que se aprueba el
Reglamento de elecciones del personal al servicio de las Administraciones Publicas, y
puesto que los referidos datos del censo son accesibles por todo el personal de la
Unidad Central de Radiodiagnóstico de la Comunidad de Madrid a través de su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
intranet, sea desestimada la reclamación por estar la incidencia provocada amparada
en la legalidad vigente..
TERCERO: El 17/06/2019, de conformidad con el artículo 65 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la
reclamación presentada por el reclamante contra el reclamado.
CUARTO: Con fecha 22/11/2019, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta
infracción del artículo 5.1.f) del RGPD, sancionada conforme a lo dispuesto en el
artículo 58.2.a) del citado RGPD.
QUINTO: Notificado el citado acuerdo de inicio, en escrito de 05/12/2019 el reclamado
presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: que
consideraba que existe amparo legal para la publicación de los datos y en la forma
realizada y que el argumento de que el listado del censo electoral es de publicidad
exclusiva para los sindicatos es inexacto; que la comunicación se realizó por whatsapp
en el marco de un proceso de elecciones sindicales amparado por el artículo 28 de la
Constitución, a petición de varios integrantes del grupo de whatsapp que tenían
dificultades para acceder a la intranet donde se hallaban publicados los datos del
censo y que todos y cada uno de los miembros del grupo en el que se comunicó el
censo accedieron voluntariamente incluida denunciante quienes son a la vez
integrantes de dicho censo y que el motivo real de la reclamación se inserta en un
periodo de elecciones ya que la reclamante pertenece a sindicato distinto a CSIF que
concurría con a las elecciones.
SEXTO: Con fecha 12/02/2020 se inició la apertura de un período de práctica de
pruebas, acordándose las siguientes:
Dar por reproducidos a efectos probatorios la reclamación interpuesta por la
reclamante y su documentación, los documentos obtenidos y generados por los
Servicios de Inspección que forman parte del expediente.
Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio
presentadas por el reclamado y la documentación que a ellas acompaña.
Solicitar a la reclamante copia de la documentación que obre en su poder
relativa al procedimiento sancionador que por cualquier motivo no hubieran sido
aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación
con los hechos denunciados.
SEPTIMO: El 08/07/2020 el reclamando presento escrito de alegaciones en el que
señalaba, en síntesis, lo siguiente: que en la propuesta se omite la debida ponderación
entre el derecho a la libertad sindical y el derecho a la protección de datos en asunto
que incide sobre ambos derechos; la concurrencia de interés público e interés legítimo
en el tratamiento de los datos ya que la información vertida era de relevancia pública o
de interés general para los trabajadores; que no ha existido ausencia de diligencia en
la actuación de la delegada sindical; que los miembros del grupo de whatsapp en el
que se comunicó el censo, accedieron voluntariamente a él, incluida la denunciante, y
son integrantes de ese mismo censo; que el que el ámbito de comunicación de los
datos personales que se denuncia es inferior a los restantes medios de publicación del
censo electoral; que el sindicato se preocupa de una adecuada protección de los datos
personales de los ciudadanos y con ese motivo suscribió un contrato con el gabinete
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
jurídico ***GABINETE.1, una empresa especializada en materia de protección de
datos, que implementó en él los cauces necesarios para el cumplimiento de lo
dispuesto en la LOPD, nombramiento de Delegado de Protección de Datos, etc., que
la denunciante eludió los canales de denuncia y demás medios que CSIF ofrece; el
archivo de las actuaciones.
OCTAVO: De las actuaciones practicadas han quedado acreditados los siguientes,
HECHOS PROBADOS
PRIMERO. El 04/04/2019 tiene entrada en la AEPD escrito señalando que la
delegada sindical del CSIF había publicado en un grupo abierto de whatsapp en el que
se encuentran casi todos los trabajadores de la Unidad Central de Radiodiagnóstico de
la Comunidad de Madrid, un listado del censo electoral de publicidad exclusiva para
los sindicatos, figurando datos tales como el DNI de todos los votantes que forman el
personal estatutario; que el censo que se publica en los tablones y al cual tienen
acceso los trabajadores no figura el DNI.
SEGUNDO. Consta aportada copia de aplicación whasapp en el que figura listado del
censo electoral, apareciendo junto a los nombres y apellidos, el número del DNI.
TERCERO. El reclamado en escrito de 24/05/2019 ha manifestado que: “existe
amparo legal para la publicación de los datos y en la forma en que se ha realizado,
más cuando ninguno de los dos preceptos mencionados diferencia entre censo para
publicar en los tablones, y censo para comunicar a los sindicatos, o lo que es lo mismo
que en el censo que se publica en los tablones no vengan los mismos datos que en el
censo que se comunican a los sindicatos. A la vez que habilita a hacerlo público entre
los funcionarios”.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
Los hechos reclamados se concretan en la publicación a través de un grupo
abierto de whatsapp que contiene a la mayoría de los trabajadores de la Unidad
Central de Radiodiagnóstico de la Comunidad de Madrid, del listado del censo
electoral en el que figura el dato del número del DNI de aquellos.
Dicho tratamiento podría ser constitutivo de una infracción del artículo 5,
Principios relativos al tratamiento, del RGPD que establece que:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas
técnicas u organizativas apropiadas («integridad y confidencialidad»).
(…)”
El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5
de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(en lo sucesivo LOPDGDD), señala que:
“1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria
de los deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán
aun cuando hubiese finalizado la relación del obligado con el responsable o encargado
del tratamiento”.
III
La documentación obrante en el expediente evidencia que el reclamado
vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el
artículo 5 de la LOPGDD, deber de confidencialidad, en relación con la incidencia
producida: envío a un grupo abierto de whatsapp del listado del censo electoral
figurando el dato del número de DNI de los votantes.
Este deber de confidencialidad debe entenderse que tiene como finalidad evitar
que se realicen filtraciones de los datos no consentidas por los titulares de los mismos.
Por tanto, ese deber de confidencialidad es una obligación que incumbe no
sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en
cualquier fase del tratamiento y complementaria del deber de secreto profesional.
En el caso examinado, el tratamiento de datos personales que la delegada
sindical del CSIF llevó a cabo mediante la publicación, a través de un grupo abierto en
la red social de whatsapp dirigido a la mayoría de los trabajadores de la Unidad
Central de Radiodiagnóstico de la Comunidad de Madrid, del listado del censo
electoral en el que figuraba además del nombre y apellidos, el dato del número del DNI
de los votantes sería lícito en tanto se cumplan las premisas del artículo 6.1 del RGPD.
A la luz de lo indicado en el citado artículo, únicamente podrán tratarse datos
cuando tengan el consentimiento de las personas en cuestión, en el ejercicio de una
obligación contractual, para cumplir con una obligación legal, cuando el tratamiento
sea necesario para el cumplimiento de una misión realizada en interés público, para
proteger los intereses vitales del interesado o para satisfacer los intereses legítimos de
su organización.
En definitiva, el tratamiento de los datos personales del reclamante llevado a
cabo solo sería lícito en tanto en cuanto se cumpla alguna de las premisas del citado
artículo 6.1 del RGPD.
Así, no existiría base legal que legitimara el tratamiento de los datos personales
del reclamante para la finalidad perseguida basada en el consentimiento, que en el
presente caso no se da puesto que la reclamante se opone a ello.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
Tampoco existirá amparo legal para la publicación de los datos en la forma en
que se ha realizado, a través de un grupo abierto de whatsapp.
El Estatuto de los Trabajadores en su artículo 74, Funciones de la Mesa, señala
que “Cuando se trate de elecciones a miembros del comité de empresa, constituida la
mesa electoral solicitará al empresario el censo laboral y confeccionará, con los
medios que le habrá de facilitar éste, la lista de electores. Esta se hará pública en los
tablones de anuncios mediante su exposición durante un tiempo no inferior a setenta y
dos horas”.
Por otra parte, el artículo 6.2 del Real Decreto 1844/1994, de 9 de septiembre,
por el que se aprueba el Reglamento de elecciones a Órganos de Representación de
los Trabajadores en la Empresa dispone que: “En las elecciones para Delegados de
Personal y miembros del Comité de Empresa, comunicado a la empresa el propósito
de celebrar elecciones por sus promotores, ésta, en el término de siete días, dará
traslado de dicha comunicación a los trabajadores que deberán constituir la mesa y en
el mismo término remitirá a los componentes de la mesa electoral el censo laboral,
con indicación de los trabajadores que reúnen los requisitos de edad y antigüedad, en
los términos del artículo 69.2 del Estatuto de los Trabajadores, precisos para ostentar
la condición de electores y elegibles.
La mesa electoral hará público, entre los trabajadores, el censo laboral con
indicación de quienes son electores y elegibles de acuerdo con el artículo 69.2 del
Estatuto de los Trabajadores, que se considerará a efectos de la votación como lista
de electores.
Cuando se trate de elecciones para Comités de Empresa, la lista de electores y
elegibles se hará pública en los tablones de anuncios durante un tiempo no inferior a
setenta y dos horas..
También el Reglamento de elecciones del personal al servicio de las
Administraciones Públicas aprobado por el Real Decreto 1846/1994, de 9 de
septiembre en su artículo 14, Censo electoral, establece:
“1. La Administración remitirá a los funcionarios que deban constituir la mesa
electoral coordinadora o, en su caso, a la mesa electoral única el censo de
funcionarios ajustado al modelo normalizado, en el término de doce días hábiles
desde la recepción del escrito de promoción de elecciones.
En el censo mencionado se hará constar el nombre, dos apellidos, sexo, fecha
de nacimiento, documento nacional de identidad y la antigüedad reconocida en la
función pública, de todos los funcionarios de la unidad electoral.
2. La mesa electoral coordinadora confeccionará la lista de electores, de
acuerdo con el artículo 16 de la Ley 9/1987, con los medios que le habrá de facilitar la
Administración.
En caso de elecciones a Juntas de Personal, la lista se hará pública en los
tablones de anuncios mediante su exposición durante un tiempo no inferior a setenta y
dos horas.
Una vez recibidas las reclamaciones a la lista provisional, presentadas hasta
veinticuatro horas después de haber finalizado el plazo de exposición citado en el
apartado anterior, la mesa electoral coordinadora las resolverá y publicará la lista
definitiva de electores dentro de las veinticuatro horas siguientes a la finalización del
trámite descrito anteriormente. En el mismo plazo determinará el número de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
representantes que hayan de ser elegidos en la unidad electoral, de conformidad con
los artículos 5 y 8 de la Ley 9/1987.
(…)
Y en su artículo 18 “Elecciones a Delegados de Personal”, señala que:
“1. Cuando se trate de elecciones a Delegados de Personal, el órgano gestor
de personal, en el mismo plazo del artículo 7 del presente Reglamento, remitirá a los
componentes de la mesa electoral censo de funcionarios, que se ajustará, a estos
efectos, a modelo normalizado.
2. La mesa electoral cumplirá las siguientes funciones:
a) Hará público entre los funcionarios el censo con indicación de quiénes son
electores.
b) Fijará el número de representantes y la fecha tope para la presentación de
candidaturas.
(…)”
A la vista de los preceptos transcritos no existe base legal para la publicación
de los datos en la forma en que se ha realizado, nombres y apellidos junto con el nº de
DNI, a través de un grupo abierto de whatsapp en el que se encuentran la mayoria de
los trabajadores de la Unidad Central de Radiodiagnóstico de la Comunidad de
Madrid.
Quien tiene la responsabilidad de publicar los datos del censo es la Mesa
Electoral y la citada publicación ha de hacerse en el tablón de anuncios para que
pueda ser visada por los electores a efectos de rectificar posibles errores.
Y esta publicación en el tablón no trasgrede la legislación sobre la protección
de datos de carácter personal. Por último, hay que decir que el RGPD no hace
mención expresa sobre este particular concreto, por lo tanto, no modifica la legislación
habida hasta la fecha.
El reclamado considera que la base que legitima el tratamiento de los datos del
reclamante se encuentra en el interés legítimo, es decir, que el tratamiento de los
datos personales efectuado a través de la publicación en la red social watsapp
perseguía satisfacer el ejercicio del derecho a la libertad sindical.
Ahora bien, eso exige que los intereses perseguidos no prevalezcan sobre los
intereses o los derechos y libertades fundamentales del interesado que requieran la
protección de datos personales, es decir, que exige ponderar los interese en juego
para concluir si debe prevalecer o no sobre el derecho a la libertad sindical el derecho
del reclamante a su privacidad.
A propósito del interés legítimo como base jurídica del tratamiento de datos
personales de terceros, el Considerando 47 del RGPD dice:
<<El interés legítimo de un responsable del tratamiento, incluso el de un
responsable al que se puedan comunicar datos personales, o de un tercero, puede
constituir una base jurídica para el tratamiento, siempre que no prevalezcan los
intereses o los derechos y libertades del interesado, teniendo en cuenta las
expectativas razonables de los interesados basadas en su relación con el
responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación
pertinente y apropiada entre el interesado y el responsable, como en situaciones en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
las que el interesado es cliente o está al servicio del responsable. En cualquier caso,
la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si
un interesado puede prever de forma razonable, en el momento y en el contexto de la
recogida de datos personales, que pueda producirse el tratamiento con tal fin. En
particular, los intereses y los derechos fundamentales del interesado podrían
prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al
tratamiento de los datos personales en circunstancias en las que el interesado no
espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde
al legislador establecer por ley la base jurídica para el tratamiento de datos personales
por parte de las autoridades públicas, esta base jurídica no debe aplicarse al
tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El
tratamiento de datos de carácter personal estrictamente necesario para la prevención
del fraude constituye también un interés legítimo del responsable del tratamiento de
que se trate. El tratamiento de datos personales con fines de mercadotecnia directa
puede considerarse realizado por interés legítimo.>>
De conformidad con los hechos que nos ocupan debe concluirse que el
tratamiento llevado a cabo por la delegada sindical del CSIF, a través de la publicación
en un grupo de whatsapp conteniendo a la mayoría de los trabajadores de la Unidad
Central de Radiodiagnóstico de la Comunidad de Madrid, facilito información que no
era pertinente a los fines del ejercicio de la mentada libertad sindical, todo lo contrario
puesto que los datos proporcionados, listado del censo que incluía el dato personal
del DNI, deben calificarse como excesivos.
El tratamiento de datos concernientes a los trabajadores incluidos en el listado
del censo dado a conocer no resulta lícito pues no encontraba amparo en el artículo
6.1.f) del RGPD.
En consideración a lo expuesto, habida cuenta de que el delegado sindical del
CSIF trató ilícitamente determinados datos personales que eran ajenos a los intereses
sindicales en juego revelando el número de DNI de las personas integrantes en el
grupo de whasapp, se concluye que el reclamado es responsable de una infracción del
artículo 5.1.f), en relación con el artículo 6.1 del RGPD.
La vulneración del artículo 5.1.f) del RGPD está tipificada en el artículo 83.5.a)
del RGPD. La LOPDGDD, a efectos de prescripción, en su artículo 72.1.a) califica esta
infracción de muy grave.
IV
El reclamado ha alegado que o se ha tenido en cuenta la ponderación entre el
ejercicio del derecho a la libertad sindical y el derecho a la protección de datos
personales, debiendo prevalecer la libertad sindical en caso de que el sindicato haya
obrado en legítimo ejercicio de su derecho a la libertad sindical en la vertiente de su
derecho a informar sobre de interés para los trabajadores.
En lo que se refiere al derecho de libertad sindical hay que señalar que las
organizaciones sindicales tienen reconocidas una serie de competencias para el
ejercicio de sus funciones sindicales de representación y que están amparadas por el
derecho a la libertad sindical reconocido en el artículo 28.1 de la Constitución,
desarrollado a través de la Ley Orgánica 11/1985, de 2 de agosto de Libertad Sindical.
La actividad sindical incluye el derecho a promover elecciones y presentar
candidaturas para la elección de comités de empresa y delegados de personal, lo que
implica la realización de una campaña electoral y la publicación de un censo electoral.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
Pues bien, en el presente caso y como consta en los hechos probados y se
señala en anteriores fundamentos la incidencia producida se refiere a la publicación a
través de un grupo abierto de whatsapp del listado del censo electoral en el que figura
el dato del número del DNI.
La ley de libertad sindical reconoce en su artículo 8.1 .c) el derecho a recibir la
información que le remita su sindicato y en el mismo artículo, apartado 2.a) se
reconoce el derecho a que con la finalidad de facilitar la difusión de aquellos avisos
que puedan interesar a los afiliados al sindicato y a los trabajadores en general, la
empresa pondrá a su disposición un tablón de anuncios que deberá situarse en el
centro de trabajo y en lugar donde se garantice un adecuado acceso al mismo de los
trabajadores.
En el caso que examinamos, el derecho de libertad sindical materializado en la
información facilitada a través de la red social se satisface plenamente sin necesidad
de acudir a dicho medio por lo que nada a porta al derecho a la libertad sindical.
Es fundamental tomar en consideración que ninguna obligación tenía el
sindicato de hacer público el censo electoral con inclusión de datos personales de los
trabajadores y ello porque la normativa reguladora de las elecciones sindicales nada
impone al respecto como se ha señalado anteriormente.
Por todo lo expuesto, debe concluirse que la actuación del Sindicato recurrente
ha excedido notablemente los limites en los que su actuación se encontraba amparada
por la legitima actuación de su libertad sindical y el haber omitido la publicidad
realizada a través de la red social no habría supuesto ninguna clase de menoscabo en
relación al ejercicio de la libertad sindical y, por el contrario, habría salvaguardado el
derecho de la reclamante en relación a datos personales tan relevantes como lo es el
DNI.
V
El artículo 83.5 a) del RGPD, considera que la infracción de “los principios
básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor
de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del
mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
Y la LOPDGDD en su artículo 72 indica a efectos de prescripción: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
(…)”
VI
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a
imponer en el presente caso por la infracción tipificada en el artículo 83.5.a) del RGPD
de la que se responsabiliza a CSI-CESIF, en una valoración inicial, se estiman
concurrentes los siguientes factores:
El alcance meramente local del tratamiento llevado a cabo por la entidad
reclamada.
El número de tratamiento y de personas afectadas por la conducta infractora,
integrantes todos ellos de la Unidad Central de Radiodiagnóstico de la Comunidad de
Madrid.
No consta que la entidad reclamada haya adoptado medidas para evitar que se
produzcan incidencias similares.
No se tiene constancia de que el reclamado hubiera obrado dolosamente,
aunque la actuación revela una falta de diligencia.
La vinculación de la actividad del infractor con la realización de tratamientos de
datos de carácter personal.
La entidad reclamada no tiene la consideración de gran empresa, aunque
representa a un gran número de afiliados entre los trabajadores y empleados del país.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a CENTRAL SINDICAL INDEPENDIENTE Y DE
FUNCIONARIOS CSI- CSIF, con NIF G79514378, por una infracción del aartículo
5.1.f) del RGPD, tipificada en el artículo 83.5.a) del RGPD, y considerada a efectos de
prescripción como muy grave en el artículo 72.1.a) de la LOPDGDD, una sanción de
3.000 € (tres mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
SEGUNDO: NOTIFICAR la presente resolución a CENTRAL SINDICAL
INDEPENDIENTE Y DE FUNCIONARIOS CSI- CSIF, con NIF G79514378.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es