1/4 Procedimiento Nº: E/00232/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante LUNAS PELUQUEROS y ESTILISTAS S.L. y JENFAB 2003 S.L. (MI CASA INN) con NIF B81161994, en virtud de reclamación presentada por D. A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el reclamante tiene entrada el 20 de septiembre de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra LUNAS PELUQUEROS y ESTILISTAS S.L. y JENFAB 2003 S.L. (MI CASA INN), (en adelante, el reclamado). Los motivos en que basa su reclamación son en que ha recibido correos electrónicos, sobre las actividades, promociones y eventos organizados por Mi casa Inn. Pues bien, con fecha 6 de julio de 2017, recibió uno de los citados correos, informándole de un evento. El correo fue enviado a más de 300 direcciones de correo electrónico, de forma que cada uno de los destinatarios puede ver las direcciones del resto de los destinatarios. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: De la información y documentación aportada por D. A.A.A. se desprende que el correo objeto de la reclamación, es de fecha 6 de julio de 2016 dirigido a más de 300 destinatarios con todas las direcciones visibles. . FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Con carácter previo al análisis de la adecuación la normativa de protección de datos de carácter personal es preciso abordar el elemento temporal en el que suceden los hechos objeto de investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 El correo electrónico objeto de la reclamación es de fecha 6 de julio de
- El RGPD establece en su artículo 99 bajo la rúbrica “Entrada en vigor y aplicación “lo siguiente:
- El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
- Será aplicable a partir del 25 de mayo de
- Por lo tanto, los hechos que motivan el inicio de las presentes actuaciones de investigación y por tanto el objeto de análisis en el presente procedimiento se producen antes de la plena aplicación del RGPD y por tanto la adecuación a la normativa aplicable debe referenciarse respecto de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD en lo sucesivo). III Los hechos expuestos, la remisión de un correo electrónico sin copia oculta constituye la comisión por parte del reclamado de una infracción del artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado, entre otras, en sentencias de fechas 14 de septiembre de 2001 y 29 de septiembre de 2004 lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En el presente caso ha quedado acreditado en el expediente, que el denunciante ha recibido un correo electrónico, donde se visualizaban direcciones de correo electrónico de terceros, entre las que estaba incluida la suya propia, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. IV El artículo 44.3.d) de la LOPD califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” Así el reclamado ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando el dato personal del reclamante, su dirección de correo electrónico. V La LOPD, establece en el artículo 47, lo siguiente: “
- Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.
- El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.
- Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.
- Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año.
- El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción.
- La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, el procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor.” En este caso concreto, de la documentación obrante en el expediente se puede constatar que el Micasa Inn envió el correo electrónico objeto de la reclamación el 6 de julio de 2016, por lo que la posible infracción denunciada ha prescrito de conformidad con lo dispuesto en el mencionado artículo 47.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es