La AEPD ha resuelto el expediente nº EXP202208793, en materia de seguridad en el uso del correo electrónico personal en el trabajo.

En el caso, La reclamante manifiesta que facilitó inicialmente a la entidad reclamada, en la que presta sus servicios, su dirección de correo electrónico personal, consintiendo en un primer momento, dado que era nueva empresa, (subrogación de los trabajadores por adjudicación de concesión de prestación de un servicio público) para que se usara como método de contacto, ya que no disponía de dirección corporativa. La trabajadora reclama porque hace más de un año que solicitó la supresión de sus datos (correo electrónico y teléfono personales). Solicitó que únicamente se pusieran en contacto a través de teléfono o correo de empresa. Sin embargo, siguen contactando con ella a través de su correo electrónico personal. 

Además, la empresa envía correos electrónicos sin copia oculta, por lo que queda revelado su email a los demás destinatarios del correo.

Aplicación del RGPD

Según el art. 5 .1.f) RGPD, los datos personales deben tratarse de tal manera que se garantice una seguridad adecuada. En el caso, los datos de la trabajadora fueron expuestos de manera indebida, al enviarse por correo a 129 empleados sin copia oculta. Por lo tanto, la empresa estaría cometiendo una infracción del reglamento.

La AEPD considera que la naturaleza de la infracción es grave, al conllevar la pérdida de la confidencialidad de la información de los trabajadores. Además, se trata de una empresa habituada al tratamiento de datos personales (salud, socioeconómicos, familiares, etc.). La reclamada se dedica a la prestación de servicios sociales, sanitarios, educativos y de ocio. Finalmente, se fija una sanción de 12.000 euros.

Por otro lado, el artículo 32 RGPD, sobre seguridad de tratamiento, también se ha vulnerado. Se ha permitido un incidente de seguridad, permitiendo el acceso ilícito a los datos personales de los trabajadores entre sí. Teniendo en cuenta el tipo de actividad que ejerce la empresa, la AEPD impone una sanción de 3.000 euros.

Por lo tanto, la AEPD resuelve el procedimiento sancionador contra la empresa, que tendrá que pagar una sanción de 15.000 euros, salvo que acceda al pago voluntario, establecido en 9.000 euros.

Fuente: AEPD