La Agencia Española de Protección de Datos ha resuelto el procedimiento sancionador PS/00406/2024, declarando que la Consejería de Turismo y Empleo del Gobierno de Canarias infringió el principio de integridad y confidencialidad establecido en el artículo 5.1.f) del Reglamento General de Protección de Datos.
Hechos objeto del procedimiento
Los hechos tienen su origen en una reclamación interpuesta el 28 de febrero de 2024. El 28/12/23 la CONSEJERÍA envió a la parte reclamante un correo electrónico para comunicarle la fecha del acto de conciliación. Al citado mensaje se anexó un fichero en el que constan los siguientes datos de las partes intervinientes de todos los actos de conciliación a celebrar en la Isla de Fuerteventura el ***FECHA.1: nombre y apellidos de los demandantes, representante, número de registro asignado al expediente, demandado y objeto o concepto del procedimiento (despido, cantidad o ambos). De este modo, los datos personales de 25 demandantes son compartidos con los 21 destinatarios del correo electrónico.
Además, el correo electrónico se remitió sin utilizar la funcionalidad “con copia oculta”, por lo que sus 21 destinatarios tuvieron acceso a la dirección de correo electrónico de los demás destinatarios.
Alegaciones de la Administración autonómica
La Consejería reconoció los hechos y alegó que los hechos objeto de la reclamación se debieron a que el programa informático utilizado hasta enero de 2024 por el Servicio de Mediación, Arbitraje y Conciliación de Las Palmas (en adelante SEMAC), databa del año 2000, aproximadamente, no disponiendo el mismo de la posibilidad de notificación telemática a las partes afectadas en los procedimientos de conciliación.
Asimismo, la Consejería indicó que desde enero de 2024 se implementó un software de gestión y tramitación de los expedientes de conciliación del SEMAC en la isla de Fuerteventura, utilizando la notificación telemática para cada expediente, suprimiendo, así, el envío de correos electrónicos.
Valoración de la AEPD
La Agencia señala que si bien la AEPD valora positivamente la adopción de medidas para evitar el envío a una pluralidad de destinatarios no autorizados de los listados con los datos personales de los intervinientes en los actos de conciliación a celebrar por la CONSEJERÍA en la isla de Fuerteventura, esta medida, adoptada con posterioridad a que ocurrieran los hechos objeto del presente procedimiento sancionador no impiden no apreciar su responsabilidad en los hechos objeto del presente procedimiento, ocurridos el 28 de diciembre de 2023.
En cuanto a la vulneración del principio de confidencialidad, la resolución indica que la CONSEJERÍA debió haber optado o por anonimizar los datos personales de las personas citadas, o por haber remitido la citación de forma separada a cada una de las personas citadas a los actos de conciliación. El principio de integridad y confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no autorizadas por los titulares de estos.
Archivo parcial del procedimiento
Respecto a la exposición de las direcciones de correo electrónico, la AEPD acordó el archivo de esta imputación separada al considerar que las direcciones de correo electrónico de personas físicas expuestas se corresponden todas ellas con las personas físicas cuyos datos personales se incluían en el listado adjunto, sin que se haya producido una conculcación separada del artículo 5.1 f) del RGPD independiente a la otra infracción del artículo 5.1 f) contenida en este documento.
Resolución
De conformidad con el régimen aplicable a las Administraciones Públicas previsto en el artículo 77 de la LOPDGDD, la AEPD declara la infracción del artículo 5.1.f) del RGPD sin imposición de sanción económica. La resolución considera innecesaria la adopción de medidas correctivas, dado que la Consejería ya había implementado un nuevo sistema de notificación telemática individualizada con anterioridad al inicio del procedimiento sancionador.