1/4 Expediente N.º: EXP202500615 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de diciembre de 2024, se presentó reclamación con número de registro de entrada REGAGE24e00092663107 ante la Agencia Española de Protección de Datos contra LUCAS TRADING SITGES, S.L. con NIF B66215351 (en adelante, LUCAS TRADING). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que ha remitido datos a la parte reclamada en el seno de una operación de compraventa de un inmueble del que es vendedor, y que estos han remitido dichos datos a la parte compradora, considerando que dicha cesión supone una exposición de datos excesivos a la parte vendedora. Señala asimismo que, a su juicio, la parte reclamada no adopta debidas medidas de seguridad sobre los datos tratados, sin que le hayan informado sobre las medidas adoptadas para la custodia de dichos datos. Señala que se no ha atendido sus peticiones de supresión o devolución de datos. Junto a la notificación aporta copia de hilo de correos electrónicos intercambiados con fecha de 24/05/2022 con la parte reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogida por la parte reclamada. La notificación se reiteró por correo postal certificado en fecha de 05/02/2025, y fue nuevamente devuelta por "dirección incorrecta". No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/4 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Minimización de datos La letra
- c)del artículo 5.1 del RGPD establece que: "1. Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” III Integridad y confidencialidad La letra
- f)del artículo 5.1 del RGPD prescribe que: "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Prescripción de las posibles infracciones El RGPD tipifica el tratamiento de datos de personales sin contar con base de legitimación y sin respetar los principios relativos al tratamiento en el artículo 83.5 al señalar: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/4 “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” Por su parte, la LOPDGD, en sus artículos 72, 73 y 74, califica a efectos de prescripción las infracciones al RGPD estableciendo que las infracciones muy graves prescriben a los tres años, las graves a los dos años y las leves transcurrido un año desde que se cometieron. En concreto, el artículo 72 señala: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…) A su vez, la Ley 39/2015 Procedimiento Administrativo Común establece en el apartado 1º Artículo 21. La obligación de resolver los procedimientos por prescripción del siguiente modo: “1. La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación. En los casos de prescripción, (…), la resolución consistirá en la declaración de la circunstancia que concurra en cada caso, con indicación de los hechos producidos y las normas aplicables.” V Conclusión Los hechos reclamados tienen lugar el 24/05/2022 y se denuncian como una posible conculcación de los principios y de minimización de los datos de la parte reclamante en relación con la compraventa de un inmueble. De conformidad con los artículos 72 de la LOPDGD, las infracciones de los artículos 5.1.
- c)y 5.1.
- f)prescriben al cabo de tres años desde que los hechos tuvieron lugar, y, por este motivo, los hechos reclamados habrían prescrito ya el día 24/05/2025, con lo que a fecha de la presente resolución las infracciones deben entenderse prescritas, al haber transcurrido más de tres años contados desde la fecha en estos ocurrieron. Atendiendo a lo anterior, procede dictar resolución de prescripción en los términos previstos por el artículo 21 de la LPACAP. En consecuencia, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/4 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a LUCAS TRADING SITGES, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es