1/8 Expediente N.º: EXP202415318 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de septiembre de 2024, la Agencia Española de Protección de Datos recibió reclamación por una posible infracción presuntamente imputable a UNIÓN ATLÉTICA SAN FERNANDO con NIF G11264876 (en adelante, la parte reclamada). La reclamante aporta, como pruebas documentales, pantallazos de dos correos electrónicos cursados por UNIÓN ATLÉTICA SAN FERNANDO a múltiples destinatarios sin utilizar la función de “copia oculta” para el envío de tales correos, siendo referido el primero al día 30 de agosto de 2024, y el segundo, al día 9 de septiembre de 2024. La parte reclamante afirma ser socia de UNIÓN ATLÉTICA SAN FERNANDO, y manifiesta que: “desde que ha entrado la nueva junta directiva nos están enviando correos electrónicos de forma masiva, poniendo todas las direcciones de los destinatarios en el apartado “Para”, en lugar de “Cco”, por lo que se realiza una brecha de seguridad en mis datos personales (…)”. La reclamante expresa su temor por las posibles consecuencias derivadas de esta falla de seguridad, consistente en la difusión de su nombre y apellidos al resto de destinatarios de los correos electrónicos. Y resalta que: “ya me han enviado cuatro correos distintos en un mes, y cada vez con más destinatarios, lo que hace sentirme menos segura”, siendo las fechas de los correos uno el 30 de agosto de 2024, y el otro, el 9 de septiembre de 2024. De la observación de los pantallazos adjuntos, se advierte que UNION ATLÉTICA SAN FERNANDO, envió desde la dirección ***EMAIL.1 dos correos electrónicos a un grupo de destinarios, acompañando documentación relativa a la organización y funcionamiento del club: -En el primer correo electrónico, con fecha de 30 de agosto de 2024, el grupo de usuarios contiene los datos personales de doce destinatarios. -En el otro correo electrónico, este grupo de usuarios refleja estos doce del primer correo, más ocho destinatarios diferentes, siendo coincidentes, en todo caso, los destinatarios del correo enviado el día 9 de septiembre de 2024. SEGUNDO: Con fecha de 30 de octubre de 2024, la Agencia Española de Protección de Datos dio trasladó de la citada reclamación a la parte reclamada en virtud del artículo del artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 En cumplimiento del artículo 14.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), y del artículo 43.2 del Real Decreto 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos (en adelante RAFSPME), la Agencia Española de Protección de Datos solicitó esta información a la interesada por vía electrónica y postal respectivamente. De esta manera, la autoridad de control puso la notificación, a disposición de la interesada, en la Dirección Habilitada Única (https://dehu.redsara.
- es)mediante la plataforma Notific@, y remitió en papel la notificación por vía postal. Huelga añadir además que, en la citada notificación, se le recordaba a UNION ATLÉTICA SAN FERNANDO su obligación de relacionarse electrónicamente con la Administración, reiterándole que, en lo sucesivo, y en virtud del artículo 14.2 de la LPACAP y del artículo 43.2 del RAFSPME, se le notificaría los documentos exclusivamente por medios electrónicos. Se le sugirió igualmente la posibilidad de indicar, a la Agencia Española de Protección de Datos, una dirección de correo electrónico para recibir los avisos de puesta a disposición de las notificaciones electrónicas previsto en el artículo 41.6 de la LPACAP. La notificación electrónica fue rechazada en los términos del artículo 43.2 de la LPACAP dado que UNIÓN ATLÉTICA SAN FERNANDO no compareció en sede electrónica a efectos de acceder a su contenido en el transcurso de los diez días naturales a contar desde su puesta a disposición, según justificante acreditativo obrante en el expediente. Sin embargo, la notificación practicada en el domicilio de la interesada sí se realizó, conforme prueba el resguardo postal, día 19 de noviembre de 2024. Finalmente, UNION ATLÉTICA SAN FERNANDO no respondió al traslado de la reclamación. TERCERO: Con fecha 10 de diciembre de 2024, en virtud del artículo 65 de la LOPDGDD, la Agencia Española de Protección de Datos admitió a trámite la reclamación. CUARTO: Con fecha 18 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: El citado acuerdo de iniciación se notificó fehacientemente en fecha 5 de agosto de 2025 mediante correo postal. Y se advirtió de que, en lo sucesivo, en cumplimiento de los artículos 14, 41 y 43 de la LPACAP, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
- es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas en el plazo de diez días naturales, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Y, además, se le informó que podía identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 SEXTO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 30 de agosto a las 20:46hs se envió un correo electrónico desde la dirección ***EMAIL.1, perteneciente a la parte reclamada teniendo como destinatarios, en el campo “para” doce direcciones de correo electrónico junto con el nombre y apellido de cada contacto, entre ellas, los datos de la reclamante. SEGUNDO: El 9 de septiembre de 2024 a las 12:20hs se envió un correo electrónico desde la dirección ***EMAIL.1 perteneciente a la parte reclamada, teniendo como destinatarios, en el campo “para” veinte direcciones de correo electrónico junto con el nombre y apellido de cada contacto, entre ellos, los datos personales de la reclamante. TERCERO: Consecuencia del envío de los correos electrónicos señalados, los datos personales de la reclamante- nombre, apellidos y dirección de correo electrónicofueron revelados al resto de destinatarios. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 Con carácter previo, resulta preciso delimitar en qué medida la actuación de UNIÓN ATLÉTICA SAN FERNANDO es susceptible de ser considerada un tratamiento de datos personales, de modo que ésta se vea compelida, como responsable del tratamiento, al cumplimiento de la normativa en materia de protección de datos, y, por tanto, a responder de su posible conculcación. A fin de dilucidar si los hechos objeto de reclamación se enmarcan en el tratamiento de datos personales, se ha de acudir al RGPD, que aporta una serie de conceptos ilustrativos al respecto. En primer lugar, desde un plano objetivo, el RGPD aborda la definición de dato personal en el artículo 4.1) precisando que es: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. A la luz de este artículo, y teniendo en cuenta los hechos reclamados, datos personales como el nombre, los apellidos y las direcciones personales de correo electrónico constituyen medios identificativos de los destinatarios de los correos electrónicos enviados, incluida la reclamante, por UNION ATLÉTICA SAN FERNADO. En segundo lugar, por lo que atañe al tratamiento de datos personales, en el artículo 4.2), el RGPD lo define como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. A la vista de este artículo, UNIÓN ATLÉTICA SAN FERNANDO realizó un tratamiento de datos personales al difundir los datos personales de sus socios (nombre, apellidos y direcciones de correo electrónico), incluida la reclamante, en los correos electrónicos remitidos a los destinatarios de las comunicaciones. Y finalmente, desde un plano subjetivo, cabe considerar que UNION ATLÉTICA SAN FERNANDO es el responsable del tratamiento de datos personales de los socios de conformidad con la definición de «responsable del tratamiento» o «responsable» prevista en el artículo 4.7 del RGPD. En este sentido, responsable del tratamiento es: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. De cuanto se ha expuesto, se puede concluir que los hechos puestos en conocimiento a la Agencia Española de Protección de Datos por la reclamante se enmarcan en el concepto de tratamiento de datos personales, y que UNIÓN ATLÉTICA SAN FERNANDO, en tanto responsable del tratamiento, está obligado al cumplimiento del RGPD y a la LOPDDD en general, y en particular, a aplicar “medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento”, conforme estipula el artículo 24.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 III Vulneración del artículo 5.1.
- f)del RGPD El tratamiento de datos personales, como es el envío de dos correos electrónicos a los socios, exponiendo los datos de la reclamante (nombre, apellidos y direcciones de correo electrónico) al resto de destinatarios de las comunicaciones electrónicas supuso una vulneración del principio de confidencialidad consignado en el artículo 5.1.
- f)del RGPD. Esta provisión normativa regula el principio de confidencialidad en los siguientes términos: “los datos personales serán (…) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. Artículo que hay que interpretar, en todo caso, teniendo en cuenta el Considerando 39 del RGPD que dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. En suma, el citado principio obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de manera que se garantice la confidencialidad e integridad de los datos personales, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Ello incluye implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. A la luz de la normativa expuesta, y por lo que concierne al caso objeto de este expediente, cabe considerar que UNION ATLÉTICA SAN FERNANDO, al haber recurrido, en el envío de dos correos electrónicos a sus socios, a la funcionalidad “Para”, como se observa en los documentos aportados por la reclamante, no preservó una seguridad y confidencialidad adecuadas en el tratamiento de los datos personales de los destinatarios. El medio informático utilizado (“Para”), en lugar de otra más apropiado en términos de seguridad como es el de “Cco” (copia oculta), expuso de manera explícita datos personales de los destinatarios (nombre, apellidos y direcciones de correo electrónico), entre los que se encontraban los de la reclamante, en cada una de las dos misivas, ante todos los receptores de estas. Unas circunstancias que implican la existencia de un incumplimiento del principio de confidencialidad en el tratamiento de datos personales por parte de UNION ATLÉTICA SAN FERNANDO al no haber garantizado la seguridad en el tratamiento de los datos personales de los socios. Por tanto, de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a UNION ATLÉTICA SAN FERNANDO, por vulneración del artículo del artículo 5.1
- f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 IV Tipificación y calificación de la infracción del artículo 5.1.
- f)del RGPD El artículo 83.5 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” tipifica el quebrantamiento del artículo 5.1.f del RGPD como infracción administrativa, y establece un abanico de valores económicos para la fijación de la sanción económica. Así, esta provisión normativa dispone que: “las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 %, como máximo, del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9 (…)”. Finalmente, respecto a la calificación de las infracciones y el plazo de prescripción de esta, la LOPDGDD, en el artículo 72.1, dispone que: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." V Apercibimiento El apercibimiento se encuentra entre los poderes correctivos con los que cuenta la Agencia Española de Protección de Datos para garantizar el cumplimiento de la normativa en materia de protección datos personales. Y el anclaje normativo del apercibimiento en el RGPD se encuentra en el artículo 58.2 apartado
- b)al facultar a la autoridad de control a “dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento”. Y en el mismo sentido, se pronuncia la LOPDGDD al regular la posibilidad de incoar un procedimiento de apercibimiento con la consecuente la imposición de medidas correctivas al infractor. Así, el artículo 64.3 de la LOPDGDD señala que: “cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2026/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia del responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado”. En consecuencia, en atención de las circunstancias concurrentes en los hechos objeto de reclamación (difusión de nombres, apellidos y direcciones personales de correo electrónico por utilizar el recurso “Para”), se estima que por la infracción del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 5.1.
- f)del RGPD por UNIÓN ATLÉTICA SAN FERNANDO procede dirigir un apercibimiento. VI Adopción de medidas Se resuelve establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
- f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Se requiere a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que han dado lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias disponibles se requiere a UNIÓN ATLÉTICA SAN FERNANDO para que, en el plazo máximo de dos meses, a contar desde la fecha de ejecutividad de la presente resolución, adopte, y acredite el cumplimiento de: - la adopción de medidas a fin de adecuar el envío de correos electrónicos a diversos destinatarios de conformidad con el artículo 5.1.
- f)del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento de apercibimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a UNIÓN ATLÉTICA SAN FERNANDO, con NIF G11264876, por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 SEGUNDO: ORDENAR a UNIÓN ATLÉTICA SAN FERNANDO, con NIF G11264876, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de dos meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la adopción de medidas a fin de adecuar el envío de correos electrónicos a numerosos destinatarios de conformidad con el artículo 5.1.
- f)del RGPD. TERCRO: NOTIFICAR la presente resolución a UNIÓN ATLÉTICA SAN FERNANDO. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es