120.000 euros por incumplir la normativa de protección de datos en un procedimiento de acoso
La importancia crucial de respetar la normativa de protección de datos en el marco de un procedimiento de acoso a través de esta resolución de la Agencia Española de Protección de Datos de 28 de marzo de 2025.
Sanción de 120.000 euros (reducida de los 200.000 a los 120.000 euros por reconocimiento de responsabilidad y pronto pago) por difundir el nombre de la trabajadora denunciante en un proceso de acoso laboral.
El caso concreto planteado
Con fechas 03/08/2024 y 06/08/2024 Dña. A.A.A (reclamante 1)., y D. B.B.B (reclamante 2), interpusieron sendas reclamaciones ante la Agencia Española de Protección de Datos contra la empresa (…)
Los motivos en que basa la reclamación son los siguientes: la reclamante 1 indica que la empresa reclamada ha publicado que ella es denunciante en un proceso de acoso laboral, divulgando su nombre y apellidos y junto a la palabra “denunciante”.
El 15/04/2024, desde el Comité de Empresa se solicitó a la empresa la apertura de protocolo de acoso laboral por una serie de hechos, ampliando la parte reclamante los hechos en lo que a ella le conciernen, mediante correo electrónico, desde su dirección personal, a la Comisión instructora, con la que realizó varias entrevistas.
La parte reclamante informa que la empresa abrió protocolo de acoso, el 06/05/2024, existiendo 5 denunciantes y 10 denunciados.
El 31/07/2024, la empresa envió un correo electrónico al Comité de Empresa informando que daba por finalizada la instrucción, adjuntando la resolución a cada una de las personas denunciantes, 5 en total, destapando así la identidad de cada uno de los denunciantes, donde se exponen sus nombres y apellidos y sus puestos de trabajo y denunciados, entre ellos, el de la parte reclamante.
La parte reclamante expresa que es el Comité de Empresa el que le reenvía el correo electrónico con su resolución.
A la vez, la empresa envió las mismas resoluciones (identificando denunciantes y denunciados) a todo el listado de personas, haciéndolas claramente identificables (a 15 personas en total).
La parte reclamante señala que todo el centro de trabajo sabe que es una de las denunciantes y conoce a los denunciados, extremo que originó que uno de los denunciados pusiera en un grupo de WhatsApp de trabajo, el mismo día del conocimiento de la resolución, un emoji de un beso y la frase: “Gracias por la denuncia”.
La parte reclamante indica que ese mismo día sufrió un ataque de ansiedad, deviniendo en baja médica.
La parte reclamante manifiesta que, en otro grupo de WhatsApp, un tercero informa que se ha enviado un correo electrónico dónde se expone quiénes son los denunciantes y denunciados, no manteniéndose la supuesta confidencialidad de la información de la persona denunciante.
La parte reclamante esgrime que no autorizó que se divulgara su identidad.
Sanción de 200.000 euros (rebajada a 120.000) por pronto pago
La AEPD deja claro en su resolución que la documentación obrante en el expediente ofrece indicios evidentes de que la parte reclamada vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al permitir el acceso a los datos carácter personal vulnerando la confidencialidad de los mismos, de manera que las partes del procedimiento, tanto denunciantes como denunciados, han tenido acceso a la identidad de cada uno de ellos.
En el presente caso, los hechos reclamados traen causa del traslado el 03/05/2024, a los miembros de la Comisión Instructora en procesos de acoso, del escrito de denuncia de acoso, con el fin de proceder a realizar las actuaciones que se considerasen procedentes, resultantes del “Protocolo para la prevención y actuación frente al acoso psicológico y el acoso discriminatorio en la empresa”.
En la denuncia se identificaban a los responsables de supuestas conductas que podían estar incluidas dentro de las que deban ser consideradas como susceptibles de acoso en los términos establecidos en el citado protocolo, motivo por el cual, por parte de la Comisión Instructora se han llevado a cabo las averiguaciones correspondientes para esclarecer la denuncia.
se desprende tras la tramitación del procedimiento por acoso laboral en la empresa, la parte reclamada remite la resolución del procedimiento de tal modo, que todos los denunciantes y denunciados han tenido acceso a la identidad de cada uno de ellos, desprotegiendo su identidad, la confidencialidad de sus datos.
De conformidad con los indicios de los que se dispone, se considera que los hechos reclamados podrían ser constitutivos de una infracción imputable a la parte reclamada, por vulneración del artículo 5.1.f) del RGPD.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa.
En concreto, el grado de negligencia en este caso se considera alto, atendida la naturaleza de los datos personales revelados (condición de denunciante o denunciado en un proceso de acoso laboral) y las especiales exigencias de confidencialidad que deben de respetarse en procesos de acoso laboral.
A efectos de decidir sobre la multa y su cuantía, de conformidad con las evidencias de que se dispone, teniendo en cuenta los criterios del artículo 83.2 del RGPD con respecto a la infracción cometida, vulneración del artículo 5.1.f) del RGPD, se considera conveniente una sanción de 200.000 euros.
Puesto que la empresa reconoce la responsabilidad y realiza pronto pago, se reduce el importe de la sanción a 120.000 euros.
