Envío accidental de las nóminas a un destinatario no autorizado
Si como responsable de recursos humanos o como empleado encargado de la gestión laboral de la empresa has enviado, por error, las nóminas a un destinatario incorrecto, te explicamos a continuación los pasos que debes seguir.
Lo fundamental, para evitar una posible sanción por parte de la Agencia Española de Protección de Datos (AEPD), es actuar de inmediato.
Si te has dado cuenta en el mismo momento de tu error, debes actuar de la siguiente manera:
- Intenta eliminar el mensaje del correo. Si utilizas un correo corporativo que te permite esta opción, como por ejemplo Gmail, debes “Deshacer el envío” para que éste no llegue al destinatario.
- Si no has podido eliminar el correo, el siguiente paso es contactar con el destinatario. Coméntale la situación y pídele que no abra el correo y que lo elimine de forma permanente, puesto que contiene datos de carácter personal. Es importante que te lo confirme por escrito.
- Informa del incidente al encargado de protección de datos y seguridad de la empresa. Evaluará la situación y la gravedad de los hechos.
Envío erróneo destinatario incorrecto
Vulneración de datos personales en las nóminas
Las nóminas contienen datos de carácter personal (nombre, apellidos, DNI), datos laborales (percepciones salariales, antigüedad en la empresa), y datos financieros (número de cuenta bancaria) de los trabajadores. Se trata de datos sensibles que, al enviarse erróneamente, van a quedar expuestos a terceros. Ante esta situación estamos ante una brecha de seguridad grave que afecta a los datos personales de los trabajadores y que, por consiguiente, pone en riesgo sus derechos y libertades. Por lo tanto, el responsable del tratamiento de los datos tiene que notificar la brecha a la autoridad de control de la AEPD. El plazo para comunicarlo es de 72 horas desde que se tuvo conocimiento de la brecha.
Igualmente, tendrá que ponerlo en conocimiento de los afectados y comunicarles las medidas que se están llevando a cabo para proteger su información.
Responsabilidad y sanciones
A pesar de ser el trabajador el que envió erróneamente las nóminas a un destinatario equivocado, la responsabilidad recae sobre la empresa. No obstante, esto no quita que la empresa le abra al trabajador un expediente disciplinario por incumplimiento grave de los deberes de buena fe y confianza legítima.
Volviendo a lo anterior, la empresa es la encargada de asegurar el cumplimiento de la normativa de protección de datos y la responsable de implementar las medidas técnicas adecuadas para garantizar la seguridad de los datos de carácter personal de sus trabajadores. Así mismo, el Código Civil en su artículo 1903 establece que el empresario responde por los daños o perjuicios que causen sus empleados con ocasión de sus funciones.
La AEPD tiene en cuenta la actuación de la empresa una vez cometido el error. Es decir, tiene en consideración las medidas que ha tomado la empresa con posterioridad al incidente para evitar que vuelva a producirse. Así que, la cuantía de la sanción será determinada teniendo en cuenta, entre otros, los siguientes factores:
- Diligencia en la respuesta: Si se pidió, en el mismo momento del error, al destinatario no autorizado que eliminara el correo.
- Notificación de la brecha en el plazo de 72 horas.
- Archivos cifrados: Si el PDF enviado con las nóminas estaba cifrado con contraseña es más difícil que alguien ajeno pudiera abrirlo y ver su contenido.
- Error adjunto individual o masivo: La cuantía de la sanción va a depender del número de trabajadores afectados. Se tiene en cuenta si se envió una sola nómina o una gran cantidad de nóminas a un destinatario no autorizado.
Aunque las sanciones son de elevada cuantía económica, se pueden aplicar reducciones si la empresa reconoce la responsabilidad (reducción del 20%) y se realiza el pago voluntario (reducción del 20%).
Envío erróneo destinatario incorrecto
Casos reales de envío de nóminas por error
- Primer caso (Fuente: AEPD)
- Actuación negligente: El trabajador difunde accidentalmente un correo electrónico con las nóminas de los empleados.
- Causa de la brecha: accidental.
- Infracción: Vulneración del deber de confidencialidad e integridad. No adoptar las medidas adecuadas para garantizar la seguridad.
- Agravante: Los datos del correo electrónico no estaban cifrados.
- Responsabilidad: Imputable a la empresa.
- Sanción:
-
- 300.000 € (Infracción deber confidencialidad e integridad)
- 150.000 € (No adoptar medidas de seguridad)
2. Segundo caso (Fuente: AEPD)
- Actuación negligente: Empleado de recursos humanos envió por error un PDF con las nóminas de 447 trabajadores (incluida la suya) a un destinatario no autorizado.
- Infracción: No garantizar la confidencialidad e integridad de los datos de carácter personal. Falta de adopción de medidas de carácter técnico y organizativas.
- Atenuante: El mensaje del correo electrónico tenía un único destinatario.
- Responsabilidad: imputable a la empresa.
- Sanción: 450.000 €
La sanción se redujo a 270.000€ por pago voluntario (20%) y por haber reconocido su responsabilidad (20%). Además de la sanción anterior, la empresa tuvo la obligación de implementar medidas técnicas y organizativas en un plazo de 3 meses.
MCle Asesores Laborales y Tributarios S.L
Expertos en gestión de nóminas
