La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 120.000 euros a una empresa por una grave vulneración del Reglamento de Protección de Datos (RGPD). La empresa expuso públicamente tanto la identidad de las dos trabajadoras que denunciaron acoso laboral como la de los trabajadores acusados durante la gestión interna.
El caso se inició tras las reclamaciones presentadas por dos trabajadoras de la compañía en agosto de 2024. Una de ellas denunció que la empresa la identificó como denunciante en un procedimiento de acoso laboral, identificándola «denunciante», con nombre y apellidos.
En total, cinco personas habían denunciado situaciones de acoso, mientras que diez resultaron denunciadas. Sin embargo, la empresa compartió con el Comité de Empresa las resoluciones individuales sin ocultar la identidad de los implicados, incluyendo nombres, apellidos y cargos de trabajo. Estas resoluciones fueron reenviadas a, al menos, 15 personas, violando así la confidencialidad exigida por la normativa.
Consecuencias personales y laborales
Tras la divulgación de su identidad, una de las denunciantes sufrió un ataque de ansiedad que la llevó a solicitar la baja médica por este motivo. Además, en grupos de WhatsApp del entorno laboral circularon mensajes que confirmaban la filtración. Uno de los denunciados incluso publicó un mensaje sarcástico agradeciendo la denuncia, lo que incrementó la tensión en el entorno de trabajo.
Es una infracción grave del RGPD
La AEPD consideró que la empresa vulneró el artículo 5.1.f) del RGPD, al no garantizar la seguridad y confidencialidad de los datos personales. Esta infracción está catalogada como «muy grave» y puede acarrear multas de hasta 20 millones de euros o el 4% del volumen de negocio.
En este caso, la infracción afectó a datos especialmente sensibles por el contexto (una investigación interna sobre acoso), lo que incrementó la gravedad del incumplimiento.
Por todo ello, la AEPD condenó a la empresa a pagar una multa de 200.000 €. Además, exigió a la compañía que, en un plazo máximo de tres meses, adopte y comunique oficialmente medidas destinadas a evitar futuras vulneraciones de este tipo. Estas deberán centrarse en garantizar la confidencialidad de los datos personales en todos los procedimientos internos.
Reconocimiento de responsabilidad y pago voluntario
La compañía admitió su responsabilidad en los hechos. A pesar de argumentar que las identidades ya eran conocidas entre los implicados, reconoció la infracción y se acogió a las reducciones legales por pago voluntario y reconocimiento, lo que rebajó la sanción de 200.000 a 120.000 euros.
La empresa también adoptó medidas correctoras como un programa de formación sobre confidencialidad y el envío de disculpas a los afectados.
Con el reconocimiento de los hechos y el pago voluntario, el procedimiento quedó formalmente cerrado. No obstante, la AEPD dejó claro que la resolución será publicada (La puedes consultar aquí: EXP202411409) y podrá ser objeto de recurso contencioso-administrativo ante la Audiencia Nacional si así lo desean los interesados.