1/12 Expediente N.º: EXP202403454 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de enero de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a PRAEDIUM PROJECT S.L. con NIF B42783217 (en adelante, PRAEDIUM). Los hechos que se pusieron en conocimiento de esta autoridad eran: Quien reclama manifestó que sus datos personales (nombre, dirección y teléfono fijo) han sido incluidos sin su consentimiento en el directorio "médicos especialistas en emergencias" de ***URL.1 en la URL ***URL.2. Además, señala que se incluye en su directorio un teléfono móvil que no reconoce. Por lo indicado, el reclamante es ***PUESTO.1, pero ya no está en ejercicio. El reclamante ha enviado un email dirigido a ***EMAIL.1 solicitando la supresión de sus datos e indica no ha obtenido contestación . Junto al escrito, se aportaba: - Captura de pantalla de móvil de la página web ***URL.2, con los siguientes datos: A.A.A. ***DIRECCIÓN.1 A.A.A. ***TELÉFONO.1 / ***TELÉFONO.2 - Impresión de pantalla de la página web ***URL.2, con los siguientes datos: A.A.A. ***DIRECCIÓN.1 A.A.A. ***TELÉFONO.1 / ***TELÉFONO.2 - Copia del correo electrónico de fecha 28 de octubre de 2023, recibido por el reclamante de Google Alerts donde indica que ha detectado “A.A.A.” y la web que coincide con la alerta. - Copia del correo electrónico de fecha 28 de octubre de 2023, remitido por el reclamante a ***EMAIL.2 y con el siguiente contenido: “No tienen autorización a incluir mis datos personales, nombre, dirección, teléfono... en la web ***URL.1 Yo no estoy en activo, no soy médico especialista en emergencias, ese no es mi número de teléfono móvil... En su página web no figura ni su nombre, ni su teléfono de contacto, ni su dirección de email. Les ruego me confirmen por escrito por este mismo medio de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 retirada de mis datos de la web. De no recibir comunicación alguna, pondré estos hechos en conocimiento de la AEPD Agencia Española de Protección de Datos, para que actúen en consecuencia. Quedo a la espera de sus noticias. Un saludo.” (sic) SEGUNDO: Con fecha 1 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: En fecha 24 de mayo de 2024, PRAEDIUM respondió al requerimiento de esta Agencia en el que se solicitaban los datos del usuario responsable de la dirección IP a fecha de la reclamación: “-***URL.1 es un directorio web, donde el contenido mostrado en esta web consiste en información de terceros sobre empresas, negocios, autónomos entre otros desde fuentes accesibles al público de forma gratuita. Al mismo tiempo ofrecemos la posibilidad a estos negocios de poder publicar su ficha de forma gratuita en el directorio. La web es ajena e independiente a las empresas, negocios, autónomos mostrados en el directorio. - En el mismo momento que se ha recibido su comunicación se ha desactivado esta ficha de contacto profesional. - La web dispone de un formulario para poder acceder a la información, consultar, modificar o dar de baja cualquier dato o ficha de forma gratuita. Está fácilmente accesible en la barra lateral en cada ficha de negocio. En ningún momento, se ha recibido ninguna comunicación por parte de esta persona de forma directa para dar de baja la información, cosa que hubiésemos hecho de forma inmediata. - Con este nombre (A.A.A.) los datos que tenemos son públicos al alcance de todo el mundo: -Directorios de ejemplo con ficha disponible (…) -Otros sitios donde aparece datos públicos: (…) Como puede comprobar a pie de página vienen sus datos púbicos que forman parte de la ficha. Los datos que tenemos son solamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 Nombre, Dirección, Teléfono de contacto publicados. Y como se puede comprobar en Google, hasta hace poco aparecía en el directorio ***ORGANISMO.2: (Aquí se inserta captura de dicha página donde aparecen datos personales del reclamante) No se dispone de ningún dato de carácter personal más allá de los publicados. Y NO se dispone de su NIF u otra identificación personal que aparece en su notificación. - Al mismo tiempo, la URL de la ficha en la web de este profesional: ***URL.3 NUNCA ha estado indexada en Google de forma directa. Como puede ser comprobada con el comando “SITE:” en la siguiente imagen: (Aquí se adjunta la búsqueda sin resultados) Es por ello, que para acceder a esta ficha solo podría haberse hecho navegando por una categoría de Especialistas. - No se ha hecho ningún tratamiento de dato, ni comunicaciones de ningún tipo. - ***URL.1 es una página con apenas tráfico e interés por parte de los usuarios. Sin altas en los últimos 12 meses de negocios interesados en aparecer en el directorio dada su baja repercusión. Lamentamos las molestias/inconvenientes que se le haya podido ocasionar a esta persona de que desconocemos, no tenemos constancia de que se haya producido porque no hemos recibido ninguna comunicación al respecto. Y dado que los datos que se disponen son públicos de otras fuentes de información públicas, incluido sus trabajos publicados donde se incluyen estos datos de contacto.” En fecha 08 de noviembre de 2024 se envió requerimiento a PRAEDIUM solicitándole: - Justificación de cómo obtuvo los datos personales del reclamante. - En caso de consentimiento por parte del reclamante, se solicita que adjunte acreditación de dicho consentimiento. En fecha 19 de noviembre 2024 se obtuvo la siguiente respuesta: “Respecto a los datos objeto de tratamiento de ***URL.1, hemos de incidir que los datos publicados en la web se reducen a aquellos datos mínimos imprescindibles para la prestación del servicio por parte de la empresa o profesional publicitado, como son datos de identificación y contacto, categorizados por materias y tipo de servicios ofertados, en base a su calificación profesional publicitada por dichos profesionales y empresas, y que constan en otros directorios profesionales/webs de consulta pública. Si bien dichos datos se han obtenido sin el consentimiento expreso del reclamante, los mismos se tratan de datos estrictamente profesionales que exceden, a nuestro humilde entender, del ámbito de aplicación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDPGDD), según lo dispuesto en su artículo 19, en relación a lo dispuesto en el artículo 6.1.
- f)del Reglamento (UE) 2016/679. Son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 datos necesarios para la localización profesional del reclamante (nombre y apellidos, dirección postal y teléfono de contacto), y obtenidos de fuentes de acceso público, para la finalidad de publicidad profesional de sus servicios.” “Dichos datos, a pesar de que no tienen el carácter de datos personales stricto sensu, por su carácter profesional, han sido obtenidos de webs y directorios de acceso público (seguir hipervínculos) como son las webs como firmania.es, emaze.com, o los artículos publicados por el propio reclamante a través de la ***ORGANISMO.1, como “***ARTÍCULO.1”, donde se facilitan aún más datos de los publicados en nuestra web, como correo electrónico, teléfono…” “Al mismo tiempo, hasta hace pocas fechas aun aparecía en su calidad de ***PUESTO.1 en el directorio ***ORGANISMO.2, que se podía encontrar de forma directa en la búsqueda de Google con los mismos datos públicos que incluía el directorio ***URL.1: (Aquí se inserta captura de pantalla de los datos personales del reclamante en la página ***URL.4 resultado de dicha búsqueda en Google)” “En la web se da exacto cumplimiento al deber de información previsto en el artículo 11.3 LOPDPGDD, facilitándose la información básica señalada en el propio artículo 11 del mismo cuerpo legal, facilitándose en cumplimiento del artículo siguiente, un formulario para “acceder de forma sencilla e inmediata a la restante información”, pudiendo el reclamante poder ejercer sus derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, reconocidos legalmente.” “Confirmamos que los datos del reclamante no han sido objeto de ningún tratamiento que no fuera la simple publicidad en la web, a través de su ficha profesional en la categoría de especialistas en Psicología, ni sus datos han sido cedidos ni transmitidos a terceros. El reclamante jamás ha utilizado los medios puestos a su disposición en la web, ni a través del formulario referido ni a través del correo electrónico facilitado, para ejercer sus derechos ni reclamar el tratamiento de sus datos, insistimos datos exclusivamente profesionales.” CUARTO: Con fecha 15 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 16/04/2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 5 de mayo de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 - PRIMERA.- Sobre la actividad de ***URL.1 SEGUNDA.- Sobre los tipos de datos del reclamante. TERCERA.- Actuaciones frente al citado procedimiento de apercibimiento. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: Los datos personales del reclamante (nombre, dirección y teléfono fijo) fueron incluidos sin su consentimiento en el directorio "médicos especialistas en emergencias" de ***URL.1 en la URL ***URL.2. El reclamante era ***PUESTO.1, pero ya no estaba en ejercicio. SEGUNDO: El 28 de octubre de 2023 el reclamante envió un correo electrónico a ***EMAIL.2, con el siguiente contenido: “No tienen autorización a incluir mis datos personales, nombre, dirección, teléfono... en la web ***URL.1 Yo no estoy en activo, no soy médico especialista en emergencias, ese no es mi número de teléfono móvil... En su página web no figura ni su nombre, ni su teléfono de contacto, ni su dirección de email. Les ruego me confirmen por escrito por este mismo medio de la retirada de mis datos de la web. De no recibir comunicación alguna, pondré estos hechos en conocimiento de la AEPD Agencia Española de Protección de Datos, para que actúen en consecuencia. Quedo a la espera de sus noticias. Un saludo.” (sic) TERCERO: ***URL.1 es un directorio web, donde el contenido mostrado en esta web consiste en información de terceros sobre empresas, negocios, autónomos entre otros desde fuentes accesibles al público de forma gratuita. CUARTO: una vez recibida la primera comunicación desde la AEPD, se ha desactivado la ficha de contacto profesional del reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que PRAEDIUM realiza, entre otros tratamientos, la recogida, conservación y publicación en internet de datos personales de personas físicas: nombre, apellidos, profesión, dirección, teléfono fijo y móvil. PRAEDIUM realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones aducidas al acuerdo de inicio PRIMERA.- Actividad de ***URL.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 Alega PRAEDIUM que la web ***URL.1 daba publicidad y visibilidad a los usuarios y consumidores de los servicios ofrecidos por empresas y profesionales autónomos de forma gratuita, organizada por sectores profesionales y territorios. Y que dicha web estuvo operativa hasta que se verificó la recepción de su anterior contestación, para que el órgano instructor pudiera verificar los datos que estaban siendo comunicados y que no se pudiera entender que su eliminación pudiera considerarse como un acto de mala fe por nuestra parte. No obstante, y desde entonces, la web ha sido desactivada. Al respecto, esta Agencia valora positivamente que se hubiera desactivado la web en cuestión, pero no es menos cierto que la conducta infractora ya había tenido lugar, razón por la cual se desestima la presente alegación. Además, dado que la web ya fue desactivada, no se ordena tampoco la adopción de medidas correctivas adicionales. SEGUNDA.- Tipos de datos del reclamante. Respecto a los datos objeto de tratamiento, incide PRAEDIUM en que los datos publicados en su web se reducían a aquellos datos mínimos PROFESIONALES imprescindibles para la prestación del servicio por parte de la empresa o profesional publicitado, como son datos de identificación y contacto, categorizados por materias y tipo de servicios ofertados, en base a su calificación profesional publicitada por dichos profesionales y empresas, y que constaban en otros directorios profesionales/webs de consulta pública. Entiende PRAEDIUM que dichos datos eran estrictamente profesionales que excedían del ámbito de aplicación de la LOPDPGDD, según lo dispuesto en su artículo 19, en relación a lo dispuesto en el artículo 6.1.
- f)del Reglamento (UE) 2016/679. Alega que eran datos necesarios para la localización profesional del reclamante (nombre y apellidos, dirección postal y teléfono de contacto), y obtenidos de fuentes de acceso público, para la finalidad de publicidad profesional de sus servicios. Si efectivamente el reclamante verificó el tratamiento de sus datos sin su consentimiento y había CESADO como profesional en ejercicio, pudo a través de los diversos medios de la web de PRAEDIUM, comunicar su oposición al tratamiento e incluso comunicar su cese en el ejercicio profesional, habiéndose retirado de forma inmediata su publicación. Si bien PRAEDIUM reconoce la necesidad de que los datos objeto de tratamiento estén debidamente actualizados y sean exactos, alega que este principio es aplicable a datos personales, y no a datos profesionales. En este sentido, entiende que es materialmente imposible saber si un profesional ha cesado de forma inmediata en el ejercicio de su profesión, cuando efectivamente aún seguía apareciendo en otras webs profesionales y directorios de acceso públicos, y en la propia web del ***ORGANISMO.2, cuando se verificó el presente incidente, desapareciendo a los pocos días. Al respecto, esta Agencia desea señalar que el artículo 19 de la LOPDGDD no implica una autorización para realizar cualquier tipo de tratamiento de datos personales. Todo tratamiento debe estar amparado en alguna base jurídica de las del artículo 6 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 RGPD y es responsabilidad del responsable del tratamiento asegurarse que se dan las condiciones estipuladas en dicho artículo. En el presente caso, era responsabilidad de PRAEDIUM en tanto responsable del tratamiento asegurarse que el reclamante continuaba en activo en su ejercicio profesional, antes de difundir sus datos personales de nombre, apellidos, dirección y número de teléfono. Y no solo eso, el reclamante había enviado un correo electrónico el 28 de octubre de 2023 a ***EMAIL.2 indicando que no estaba en activo y solicitando la supresión de sus datos. Por tanto, se desestima la presente alegación. TERCERA.- Actuaciones frente al citado procedimiento de apercibimiento. Alega PRADEIUM que los datos del reclamante no han sido objeto de ningún tratamiento que no fuera la simple publicidad en su web, a través de su ficha profesional en la categoría de especialistas en Psicología, ni sus datos han sido cedidos ni transmitidos a terceros. Se trataban entonces de datos profesionales, que no eran por tanto objeto de la LOPDGDD. No obstante, indica la improcedencia de continuar con el presente procedimiento por los siguientes motivos: 1. Ya se ha desactivado la web ***URL.1 eliminándose todos los datos profesionales que contenía y que pudieran ser considerados como datos personales. 2. Los hechos denunciados hacen referencia a datos estrictamente profesionales, no contraviniendo lo dispuesto en el art. 6.1 RGPD, conducta tipificada en el artículo 83.5 del citado Reglamento, por cuanto su conversión en datos personales, al haber cesado en su actividad, no pudo verificarse hasta la eliminación de dichos datos en la web del ***ORGANISMO.2, lo que se produjo con posterioridad a la reclamación. Por lo anterior, y en el caso de que se entienda adecuado seguir con el presente procedimiento, intereso que se realicen diligencias de investigación: 1. Requerimiento al reclamante para que acredite la fecha del cese en el ejercicio profesional. 2. Requerimiento al ***ORGANISMO.2 para que acredite la fecha de eliminación en su web de los datos profesionales del reclamante. Al respecto, esta Agencia desea señalar que las comprobaciones pertinentes a fin de comprobar que el reclamante continuaba en activo en su ejercicio profesional era responsabilidad de PRAEDIUM, que en virtud del principio de responsabilidad proactiva consagrado en el artículo 5.2 del RGPD, debió asegurarse que la difusión de los datos del reclamante contaba con la legitimación exigida por el artículo 6 del RGPD. Además, el reclamante había indicado que no estaba en activo y había solicitado la supresión de sus datos, mucho antes de interponer reclamación ante esta Agencia. Por tanto, se desestima la presente alegación. IV Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones." Procede en este supuesto examinar si PRAEDIUM disponía de base de licitud para publicar en la web ***URL.1 los datos personales del reclamante. El artículo 6.1 del RGPD determina los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será considerado lícito por el RGPD. En el presente caso, la reclamación se interpone contra PRAEDIUM por publicar los datos personales (nombre, dirección y un teléfono fijo) del reclamante sin contar con su consentimiento expreso, en el directorio "médicos especialistas en emergencias" de ***URL.1: ***URL.2. De acuerdo con el artículo 19 de la LOPDGDD Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales: “1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo 6.1.
- f)del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su caso los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica siempre que se cumplan los siguientes requisitos:
- a)Que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional.
- b)Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios. 2. La misma presunción operará para el tratamiento de los datos relativos a los empresarios individuales y a los profesionales liberales, cuando se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 refieran a ellos únicamente en dicha condición y no se traten para entablar una relación con los mismos como personas físicas. (…)” No obstante, el reclamante especifica en su reclamación que no está en ejercicio, por lo que la presunción de este artículo se rompe cuando la persona deja de ejercer su actividad profesional, ya que, en ese momento, sus datos dejan de estar vinculados a un ámbito estrictamente laboral y pasan a considerarse datos personales. En consecuencia, su tratamiento debe ajustarse a las normas generales de protección de datos, requiriendo una base jurídica legítima para su uso. En su escrito a esta Agencia de fecha 19 de noviembre 2024, PRAEDIUM confirmaba que, efectivamente, llevó a cabo la publicación de los datos personales del reclamante en la web ***URL.1 sin el consentimiento del reclamante: “Respecto a los datos objeto de tratamiento de ***URL.1, hemos de incidir que los datos publicados en la web se reducen a aquellos datos mínimos imprescindibles para la prestación del servicio por parte de la empresa o profesional publicitado, como son datos de identificación y contacto, categorizados por materias y tipo de servicios ofertados, en base a su calificación profesional publicitada por dichos profesionales y empresas, y que constan en otros directorios profesionales/webs de consulta pública. Si bien dichos datos se han obtenido sin el consentimiento expreso del reclamante (…).” PRAEDIUM tampoco ha demostrado que el tratamiento sea necesario para la ejecución de un contrato, el cumplimiento de una obligación legal, la protección de intereses vitales, la realización de una misión de interés público o la satisfacción de un interés legítimo que prevalezca sobre los derechos de los afectados, por lo que carecería de una base jurídica adecuada que legitime dicho tratamiento. La difusión de información como nombre, apellidos, dirección y número de teléfono del reclamante sin su consentimiento o una base jurídica adecuada que legitime el tratamiento, supondría una vulneración del artículo 6.1 del RGPD. Además, al tratarse de datos accesibles públicamente en un directorio en internet, el reclamante podría ver comprometida su privacidad y seguridad, incrementando el riesgo de usos indebidos de su información personal. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a PRAEDIUM, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Propuesta de apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción de los artículos anteriormente mencionados procede dirigir a PRAEDIUM PROJECT S.L. un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 PRIMERO: DIRIGIR UN APERCIBIMIENTO a PRAEDIUM PROJECT S.L., con NIF B42783217, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a PRAEDIUM PROJECT S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es