La empresa Interurbana De Autobuses SA (más conocida como Interbus) ha recibido una sanción por parte de la AEPD (Agencia Española de Protección de Datos) por la que deberá pagar una multa de 70.000 euros. ¿El motivo? Incumplir el principio de minimización de datos, es decir, utilizar más datos personales de los estrictamente necesarios para un fin concreto, aunque en este caso haya sucedido sin propósito alguno y debido a un “error humano”.
Te contamos qué ha pasado, a continuación.
¿Qué denuncia la parte reclamante?
Sus motivos son muy simples: manifiesta que su empresa ha compartido sus datos personales (en concreto, el que no debía figurar es su domicilio) con los sindicatos, con los trabajadores e incluso con otras empresas. Los hechos se producen en el contexto de unas elecciones sindicales y los datos se incluyen en el censo electoral, que es colocado en el tablón de anuncios de la empresa, visible según la reclamante por terceros.
¿Qué argumenta la empresa?
Tras la reclamación, la empresa presenta alegaciones, que se basan en los siguientes puntos:
- El error se comete desde Recursos Humanos, al imprimirse un formulario equivocado y no el correspondiente al censo electoral (que incluiría los mismos datos, exceptuando el domicilio postal).
- No se ha tenido conocimiento del error hasta la denuncia.
- El listado lo colocó el Delegado y solo es visible por parte del personal de la empresa y el vigilante de seguridad.
- El documento solo estuvo colgado mientras duraron las elecciones.
- En el censo solo se mostraban las direcciones de dos de los empleados.
Asimismo, argumenta en sus alegaciones la empresa que no existen ni el principio de culpabilidad ni el de proporcionalidad, ya que considera que la multa impuesta (70.000 euros) es demasiado elevada.
La decisión final de la AEPD
A pesar de las alegaciones, la AEPD ha decidido en su resolución dar la razón a la parte reclamante, por estos motivos:
- No importa que únicamente se hayan hecho públicas dos direcciones, bastaría con solo una para incumplir el RGPD (Reglamento General de Protección de Datos), al vulnerarse el principio de minimización de datos e incluirse en el censo uno o varios que no son necesarios.
- Aunque el listado no se encontraba a la vista del público, sí era visible para el resto de trabajadores, para otras empresas, para el personal de seguridad y para los sindicados.
- Las sanciones las puede imponer la AEPD no solo cuando exista dolo, sino también cuando se perciba insuficiencias en el deber de cuidado.
Según la AEPD, la empresa reclamada no fue lo suficientemente diligente al publicar en el tablón de anuncios datos de los trabajadores que eran innecesarios, inadecuados y no pertinentes para la finalidad exigida, algo que se prohíbe en el artículo 5.1.c) del RGPD.
¿Cómo se ha fijado el importe de la sanción?
Aunque la empresa alega que la sanción no es proporcional al daño que se ocasiona, la AEPD recuerda que lo previsto en la normativa contempla multas máximas de hasta 20 millones de euros o el 4% del volumen de negocio, que en este caso fue de 48.732.000 euros en el 2022.
Por tanto, la sanción se encuentra dentro de los límites y, además, se asienta en los siguientes factores:
- La naturaleza y la gravedad de la infracción.
- La negligencia en la infracción.
- La actividad de la empresa, pues por su naturaleza se le presupone un grado mayor de diligencia al estar acostumbrada a manejar grandes volúmenes de datos de pasajeros y terceros.
Por estas razones, la AEPD considera justo multar a la empresa con 70.000 euros.
Conclusiones que podemos extraer de esta resolución de la AEPD
Lo más importante que desde APDTIC queremos destacar de este ejemplo de sanción es que no importa el tamaño de la empresa ni que la infracción se haya cometido sin querer: cualquier organización tiene el deber de cumplir el RGPD desde el mismo momento en que lleva a cabo alguno o varios tratamientos de datos personales, ya sean estos de clientes, de empleados, de proveedores, de socios, etc.
En este supuesto en particular, se vulnera el principio de minimización de datos, ya que no solo se manejan aquellos que son “adecuados, pertinentes y limitados”. En el contexto de unas elecciones sindicales solo deben figurar en el censo el DNI, el nombre completo, el sexo, la fecha de nacimiento, la categoría o grupo profesional y la antigüedad, pero en ningún caso se habla de la dirección postal.
Como ves, no resulta muy complicado vulnerar la normativa vigente en materia de protección de datos, incluso aunque no haya existido voluntad de hacerlo y se trate de una empresa acostumbrada a manejar grandes cantidades de datos.
