La sanción por difundir datos por WhatsApp puede producirse cuando se comparten datos personales sin autorización y sin una base legal que lo permita. La Agencia Española de Protección de Datos ha impuesto una multa de 5.000 euros a un sindicato por difundir entre sus afiliados el censo electoral de una empresa a través de un grupo de WhatsApp.
La resolución se dictó en el procedimiento sancionador EXP2023312276. En este caso, el sindicato compartió el censo electoral de los trabajadores de la empresa. En ese documento figuraban datos personales como el nombre y apellidos, la fecha de nacimiento, el número de DNI y la antigüedad en la empresa.
Difusión de datos personales sin autorización
La Agencia Española de Protección de Datos consideró que la difusión del censo vulneró el Reglamento General de Protección de Datos. Los datos personales de los trabajadores fueron expuestos o cedidos a terceros sin la autorización correspondiente.
Además, todos los afiliados del sindicato que formaban parte del grupo de WhatsApp pudieron acceder a los datos de otros trabajadores de la empresa. Esta comunicación se realizó sin el consentimiento de los afectados y sin una base que legitimara dicha cesión.
Por este motivo, la Agencia impuso dos sanciones. Una multa fue de 3.000 euros y la otra de 2.000 euros.
Falta de medidas de seguridad
La Agencia también consideró que el sindicato no había adoptado medidas de seguridad adecuadas para evitar la difusión del censo.
Esta actuación supuso una brecha de confidencialidad. El sindicato no aplicó medidas para garantizar que los datos personales se mantuvieran protegidos. Por ello, la Agencia impuso una segunda sanción.
El caso demuestra que no basta con tratar datos personales para una finalidad concreta. También es obligatorio protegerlos con medidas técnicas y organizativas adecuadas.
Vulneración del RGPD
La Agencia consideró vulnerado el artículo 5.1.f del Reglamento UE 2016/679, conocido como RGPD. Este precepto recoge uno de los principios esenciales del tratamiento de datos personales: la integridad y confidencialidad.
Este principio exige tratar los datos de forma segura. También obliga a protegerlos frente a tratamientos no autorizados o ilícitos.
Además, la Agencia apreció una vulneración del artículo 32 del RGPD. Este artículo regula las medidas de seguridad que debe adoptar el responsable del tratamiento.
En este caso, el responsable era el sindicato.
Calificación de las infracciones
El incumplimiento de estas obligaciones se calificó como falta muy grave y como falta grave. La calificación se realizó conforme a los artículos 72 y 73 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
El sindicato reconoció los hechos. Además, pagó la multa de forma voluntaria. Con ello, puso fin al procedimiento sancionador, conforme a la Ley de Procedimiento Administrativo.
Qué se considera dato personal
El artículo 4 del RGPD define los datos personales como toda información sobre una persona física identificada o identificable.
Una persona física identificable es aquella cuya identidad puede determinarse directa o indirectamente. Esto puede hacerse mediante un identificador como el nombre, un número de identificación, datos de localización o un identificador en línea.
También pueden ser datos personales uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de esa persona.
En el caso analizado, el censo incluía datos que permitían identificar claramente a los trabajadores. Por tanto, su difusión debía ajustarse a las exigencias del RGPD.
Principios que deben respetarse en el tratamiento de datos
El tratamiento de datos personales debe cumplir de forma rigurosa los principios del artículo 5 del RGPD.
Entre estos principios destaca la obligación de garantizar la integridad y confidencialidad de los datos. El responsable del tratamiento debe adoptar medidas técnicas y organizativas adecuadas para proteger la información.
Además, el tratamiento debe apoyarse en una base de legitimación o licitud conforme al artículo 6 del RGPD.
Entre las bases posibles se encuentran:
- El consentimiento del interesado.
- El cumplimiento de un deber legal.
- La existencia de un interés legítimo.
- Otras bases previstas en el propio Reglamento.
Si no existe una base que legitime el tratamiento, la comunicación de los datos puede vulnerar la normativa de protección de datos.
Riesgo de sanciones elevadas
La Agencia Española de Protección de Datos puede imponer sanciones de cuantía elevada cuando se incumple el RGPD.
El artículo 83 del Reglamento establece los criterios para determinar estas sanciones. En algunos casos, pueden llegar hasta el 2 % del volumen de negocio del ejercicio anterior.
Por eso, cualquier entidad que trate datos personales debe actuar con especial diligencia. También debe evitar difundir información personal por canales que no garanticen la confidencialidad.
Conclusión
La sanción por difundir datos por WhatsApp confirma la importancia de respetar la normativa de protección de datos. Compartir un censo electoral en un grupo de mensajería sin autorización puede implicar una cesión ilícita de datos personales.
Además, el responsable del tratamiento debe adoptar medidas de seguridad adecuadas. Si no lo hace, puede incurrir en una brecha de confidencialidad.
Este caso recuerda que los datos personales deben tratarse con una base legítima, con garantías de seguridad y respetando siempre los principios del RGPD.
Si te interesan temas como este, visita nuestro blog.
