80.000 € de multa por desvelar a terceros la afiliación sindical de una trabajadora

La Agencia Española de Protección de Datos ha multado con 80.000 euros a una empresa que suministró a terceros los datos de afiliación sindical de una trabajadora, sin su consentimiento.

El caso

En noviembre de 2021, la mujer interpuso una reclamación ante la AEPD dirigida contra la empresa de servicios funerarios para la que trabajaba.

Según la reclamante, su empresa habría comunicado indebidamente al sindicato CGT, datos de su afiliación anterior. En concreto, la mercantil comunicó al mencionado sindicato, mediante burofax, que el nombramiento de la empleada como representante de los trabajadores podía resultar incompatible con otro nombramiento previo en una segunda asociación sindical (Sindicato Unitario de Huelva).

Asimismo, la reclamante denunció que la entidad reclamada también reveló su afiliación sindical a varios medios de comunicación (Huelva 24, La Voz del Sur y El Funerario Digital) que publicaron noticias relacionadas con su despido.

La mujer aportó también la publicación de noticias en otros medios de comunicación con los datos de su despido, su nombre y datos de su afiliación sindical. (Foto: E&J)

A inicios de 2022, la Agencia dio traslado de dicha reclamación a la mercantil reclamada para que procediese a su análisis e informase a la primera de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.

Consecuencia de lo anterior, en febrero de 2022, la empresa de servicios funerarios informó a la AEPD que, a su juicio, había efectuado un tratamiento de los datos de afiliación sindical de la mujer dentro de los parámetros legales establecidos y conforme a los fines de la cooperación entre la compañía y sus trabajadores.

En la misma línea, según la mercantil, el empleo del dato objeto de atención se produjo de forma reactiva dentro de un proceso de sucesivas comunicaciones entre el segundo sindicato y la entidad reclamada.

80.000 euros de multa

Tras admitirse a trámite la reclamación formulada, la AEPD adelantó que, de conformidad con lo descrito en líneas anteriores y sin perjuicio de lo que resultase en la fase de instrucción, la parte reclamada habría comunicado los datos sindicales de la reclamante a terceros sin encontrarse en ninguno de los supuestos que, a modo de excepción, permiten su tratamiento según el art. 9 del RGPD.

En particular, cabe recordar que el mencionado precepto, en su apartado primero, establece expresamente la prohibición de tratamiento de datos personales “que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física”.

La tutela reforzada de este tipo de datos se fundamenta en la especial protección que merecen los datos personales que, por su naturaleza, son particularmente sensibles

Además de lo anterior, en segundo término, la institución dirigida por Mar España Martí razona que nos podríamos enfrentar ante un tratamiento ilícito de datos personales, ya que, en este escenario, la empresa trató los datos sindicales de la trabajadora, interpretando que tenía interés legítimo para su tratamiento, pese a no contar con su consentimiento. Es decir, tal incumplimiento supondría la infracción del art. 6 del RGPD, ya que los datos personales habrían sido tratados sin contar con ningún tipo de legitimación.

Así pues, a efectos de fijar el importe de la sanción de multa a imponer a la mercantil reclamada, la AEPD, en una valoración inicial, estimó concurrente, en calidad de agravante, la vinculación de la actividad de la infractora con la realización de tratamientos de datos personales.

Por lo expuesto, tras las evidencias obtenidas en la fase de investigaciones previas, la Agencia consideró que procedía graduar las sanciones a imponer en la cuantía de 40.000 euros, por la infracción del art. 9 del RGPD, y otros 40.000 euros, por la infracción del art. 6 del mismo cuerpo legal. Sin embargo, tras acordar el inicio del procedimiento sancionador, a mediados de agosto de 2022, la empresa ha reconocido su responsabilidad y ha pagado voluntariamente la cifra de 48.000 euros, haciendo uso de las dos reducciones previstas legalmente (reducción del 20% por reconocimiento de responsabilidad y reducción del 20% por pago voluntario).