1/22 Expediente N.º: EXP202411421 IMI Reference: A56ID 468290 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) el 27 de octubre de 2022 interpuso reclamación ante la autoridad de protección de datos de Francia. La reclamación se dirige contra NAPPTIVE SOLUTIONS, S.L. con NIF B02744027 (en adelante, NAPPTIVE). Los motivos en que basa la reclamación son los siguientes: El 27 de octubre, recibió un correo electrónico comercial de sondeo en su correo electrónico profesional. Este correo electrónico fue recibido después de ser a priori obtenido de un sitio web como GitHub, sin información previa en el momento de la recogida del uso que se haría a partir de entonces, en violación de las directrices sobre prospección comercial por correo electrónico. Junto a la reclamación se aporta: - Correo electrónico con sus cabeceras completas, enviado a la parte reclamante desde hello@napptive.com el 27 de octubre de 2022, con el siguiente contenido (traducción no oficial, en inglés el original): “Hemos estado explorando proyectos de código abierto con el fin de proporcionar a los principales contribuyentes de proyectos como usted nuestra edición Pro completamente gratuita, sin ningún compromiso. ¡Hola! Hemos estado explorando * proyectos de código abierto * para proporcionar a los colaboradores principales del proyecto como usted nuestra * Edición Pro * completamente * gratis *, sin ningún compromiso. En *Napptive* nuestra misión es empoderar a los desarrolladores con una *plataforma de autoservicio* que acelere el desarrollo. (http://join.napptive.com/playground-free-pro) Ofrecemos una plataforma de aplicaciones nativa de la nube centrada en proporcionar un método simplificado para operar en clústeres * Kubernetes * e implementar aplicaciones complejas, abstrayendo la dificultad de trabajar con entidades Kubernetes de bajo nivel, proporcionándole: * *Entornos* de desarrollo/despliegue de *autoservicio*. Ya no hay necesidad de abrir tickets y esperar. * Despliega aplicaciones directamente desde nuestro *Catálogo* con un clic de un botón, y sube las tuyas propias. * *Confianza total* en las aplicaciones que se pueden implementar en diferentes plataformas / infraestructuras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/22 (http://join.napptive.com/playground-free-pro) *Napptive* se encarga de proporcionarle los recursos necesarios para implementar sus aplicaciones en entornos nativos de la nube, con multitenencia segura, entornos de vista previa compartibles y totalmente integrados con sus canalizaciones de CI / CD. Solo hemos tratado su correo electrónico sobre la base de un interés legítimo. Conservaremos sus datos durante un período de 30 días, y puede solicitar cualquier acceso inmediato o supresión de sus datos respondiendo a este correo electrónico. Napptive S.L.” SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 14 de diciembre de 2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el 16 de diciembre de 2022. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que NAPPTIVE tiene su establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, la autoridad de protección de datos de Francia actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra
(4)GDPR and, at least in those cases, meaningful information about the logic involved, as well as the significance and the envisaged consequences of such processing for me. There is no such process in place. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/22 We have not disclosed your data elsewhere. We are a small startup, and in our eagerness, we wholeheartedly thought that reaching out as a one-off to look for talent that might benefit from the use of our platform was legitimate. As per your email, it is clear this was a gross mistake, and it will not be repeated. I remain at your disposal for any further information or clarification, Yours sincerely,” [Traducción no oficial: “Querido A.A.A., En primer lugar, nos gustaría disculparnos por la comunicación no deseada. En respuesta a sus preguntas en relación con el RGPD: 1. Las finalidades del tratamiento: Sentimos que la oferta de nuestra plataforma sin costo sería beneficiosa para alguien como usted, de ahí la comunicación enviada. 2. Las categorías de datos personales en cuestión: Solo procesamos su dirección de correo electrónico. 3. Los destinatarios o categorías de destinatarios a los que se han comunicado o se comunicarán los datos personales: Sus datos no han sido revelados a nadie que no sea usted en la comunicación mencionada anteriormente. 4. En la medida de lo posible, el plazo previsto para el almacenamiento de los datos personales o, si no es posible, los criterios utilizados para determinar dicho plazo: Almacenamos los datos durante 30 días, pero dada la naturaleza de su queja, hemos procedido a eliminar sus datos de inmediato. 5. Cuando los datos personales no se recojan del interesado, cualquier información disponible sobre su origen: Hemos estado buscando talento en Github repo commits y pensamos que sus contribuciones harían nuestra oferta de beneficio para usted. Enviamos esta comunicación en virtud de la disposición de interés legítimo según lo establecido en el artículo 6, apartado 1, letra f), del RGPD. 6. La existencia de una toma de decisiones automatizada, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, del RGPD y, al menos en esos casos, información significativa sobre la lógica implicada, así como la importancia y las consecuencias previstas de dicho tratamiento para mí. No existe tal proceso. No hemos divulgado sus datos en ningún otro lugar. Somos una pequeña startup, y en nuestro afán, pensamos de todo corazón que buscar talento que pudiera beneficiarse del uso de nuestra plataforma era legítimo. Según su correo electrónico, está claro que esto fue un grave error, y no se repetirá. Estoy a su disposición para cualquier información o aclaración adicional, Le saluda atentamente». FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/22 De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que NAPPTIVE realizó la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: correo electrónico, entre otros tratamientos. NAPPTIVE realizó esta actividad en su condición de responsable del tratamiento, dado que es quien determinó los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que NAPPTIVE está establecida en España, si bien presta servicio a otros países de la Unión Europea. III Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico El artículo 95 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), (en relación con la Directiva 2002/58/CE) indica que “El presente Reglamento no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE”. En relación con ello, el apartado 4.3 de “El significado del artículo 95 del RGPD”, del Dictamen 5/2019 sobre “la interacción entre la Directiva sobre privacidad electrónica y el RGPD”, en particular sobre la competencia, las tareas y los poderes de las autoridades de protección de datos, adoptado el 12 de marzo de 2019, en el seno del Comité Europeo de Protección de Datos, indica lo siguiente: “44. (…) “el objetivo del artículo 95 del RGPD es evitar la imposición de cargas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/22 administrativas innecesarias a los controladores que de otro modo estarían sujetos a cargas administrativas similares, pero no idénticas”. Además, el punto 91 del mismo documento, indica: “Los mecanismos de cooperación y coherencia disponibles para las autoridades de protección de datos en virtud del Capítulo VII del RGPD, se refieren al seguimiento en la aplicación de las disposiciones del RGPD. Por lo que estos mecanismos no son de aplicación a la implementación nacional de la Directiva de privacidad electrónica. El mecanismo de cooperación es aplicable en la medida en que el procedimiento esté sujeto a las disposiciones del RGPD y no a una "norma especial" contenida en la Directiva de privacidad electrónica”. El presente caso tiene su origen en una reclamación presentada ante la autoridad francesa de protección de datos, por haber recibido un correo electrónico comercial no solicitado por parte de NAPPTIVE, sin información previa en el momento de la recogida del uso que se haría a partir de entonces. Según lo manifestado por la propia NAPPTIVE, dicho correo electrónico fue obtenido de la web GitHub, que es que es un repositorio online que permite a los informáticos desarrolladores de software gestionar sus proyectos, compartirlos on line y controlar versiones de código. Para que NAPPTIVE hubiera podido acceder a tal correo electrónico, el mismo debía estar configurado por el propio usuario como información pública, accesible a todos los miembros de GitHub. El correo en cuestión fue enviado el 27 de octubre de 2022 por NAPPTIVE a la dirección de correo de la parte reclamante. Ese mismo día, la parte reclamante contestó por correo a NAPPTIVE indicándole que esa comunicación no había sido solicitada, pidiendo información sobre el origen del dato y solicitando que se suprimieran sus datos. Una hora después, NAPPTIVE contestó a la parte reclamante proporcionando la información solicitada y borrando los datos en cuestión. Además, a raíz de este hecho, la empresa no ha realizado más acciones de prospección comercial de este tipo a usuarios de comunidades similares. En el presente caso, la normativa española aplicable es la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), que tiene como objeto la incorporación al ordenamiento jurídico español la Directiva 2000/31/CE, del Parlamento Europeo y del Consejo, de 8 de junio, relativa a determinados aspectos de los servicios de la sociedad de la información. También traspone la Directiva 2002/58 que es la que regula las comunicaciones comerciales. El artículo 43.1, párrafo segundo de la citada ley LSSI, indica que, “es competente la Directora de la Agencia Española de Protección de Datos, para iniciar y resolver Procedimientos Sancionadores”. Aunque los hechos fueran constitutivos de una infracción de la LSSI (necesariamente de carácter leve, a tenor de las circunstancias que concurren) tal infracción estaría prescrita desde el 27 de abril de 2023. Así pues, habida cuenta del tiempo transcurrido desde que esta Agencia tuvo conocimiento de estos hechos y la investigación realizada, la infracción en la que pudiera haber incurrido la infracción reclamada habría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/22 prescrito por el transcurso del plazo de seis meses que fija el artículo 45 LSSI. Razón por la cual, con fecha 30 de enero de 2024, la Directora de la Agencia Española de Protección de Datos dictó resolución de archivo de las citadas actuaciones en lo que a ello respecta. IV Licitud del tratamiento El artículo 6.1 del RGPD “Licitud del tratamiento” establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Por su parte, el artículo 19.1 de la LOPDGDD “Tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales” dispone: “1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo 6.1.
- f)del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su caso los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica siempre que se cumplan los siguientes requisitos:
- a)Que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional.
- b)Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios.” En el presente caso, NAPPTIVE ha manifestado en su escrito de 12 de septiembre de 2023 que la base del tratamiento era el interés legítimo y ha fundamentado la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/22 prevalencia de este interés en lo siguiente: 1. Alegación de la aplicación del interés legítimo del artículo 6 apartado 1 subapartado
- f)del Reglamento General de Protección de Datos (en adelante, RGPD) como base legitimadora del tratamiento de datos, teniendo en cuenta el considerando 47 del RGPD. 2. Declaración de que “Teniendo en cuenta que el dato personal tratado es única y exclusivamente un correo electrónico, que pertenece o parece pertenecer al mail corporativo de una empresa o entidad, no al de un menor de edad o de una persona vulnerable, y que tampoco se están vulnerando derechos y/o libertades fundamentales de una persona, entendemos que el envío de la comunicación es lícita y tiene un interés legítimo que se basa en la prospección comercial de la empresa denunciada.” 3. También se indica que “La comunicación realizada por NAPPTIVE SOLUTIONS, S.L., fue como consecuencia de formar parte comunidades de desarrolladores informáticos, que participaban en proyectos relacionados con el usuario, habían utilizado los servicios ofrecidos por ésta.” Y se indica que la parte reclamante “forma parte de la empresa STANCER, la cual tiene un proyecto de desarrollo de software abierto en el repositorio on line GitHub. Desde Napptive, como miembro de esa comunidad al igual que el reclamante…” 3. Respecto a la obtención del dato, se indica lo siguiente: “El origen del dato (correo electrónico), ha sido obtenido de GitHub, que es un repositorio online que permite a los informáticos desarrolladores de software gestionar sus proyectos, compartirlos online y controlar versiones de código.” […] “El dato (correo electrónico), obtenido de la web GitHub, https://github.com/wearestancer/libphp, es un dato público, no está oculto al usuario de la misma como puede ser esta empresa, y cuya ocultación se puede llevar a cabo por el propietario del dato personal, puesto que GitHub ofrece herramientas que lo permite. El correo electrónico es el único dato tratado y obtenido. Ese dato es el único necesario para entablar la relación que se pretendía y con el fin de lo dispuesto en el punto anterior. NAPPTIVE SOLUTIONS, S.L., no obtuvo ni trató ningún otro dato personal del reclamante. El repositorio on line GitHub no permite contactar con miembros de la comunidad que formen parte de otros proyectos diferentes al propio proyecto de cada usuario a través de un chat. Por tanto, la única manera de poder llegar al denunciante es mediante el correo electrónico que de manera pública se muestra en GitHub. No existe otra alternativa.” 4. Por último, respecto a la utilización del correo electrónico, se declara que “existe una expectativa intrínseca de los usuarios de GitHub que muestran públicamente sus datos de poder ser contactados por otros usuarios de dicho repositorio on line, fruto de la habitual colaboración entre sus miembros en la búsqueda de mejoras en la calidad de sus proyectos informáticos.” El Consejo de Estado en su Dictamen al Anteproyecto de Ley Orgánica de Protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/22 de Datos de Carácter Personal considera acorde con el RGPD el establecimiento de este tipo de presunciones: «(…) a diferencia de lo que ocurre con la regulación de los supuestos legitimadores de las letras
- c)y
- e)del artículo 6.1, el Reglamento no efectúa ninguna llamada expresa al desarrollo y concreción por los Estados miembros del supuesto contemplado en la letra
- f)de ese artículo. En línea de principio, por consiguiente, y en ausencia de una habilitación implícita en este sentido, debe negarse toda competencia de los Estados miembros para imponer por vía normativa exigencias adicionales que vengan a modificar el alcance de esta hipótesis legitimadora del tratamiento. Así lo ha afirmado el Tribunal de Justicia de la Unión en su Sentencia de 24 de noviembre de 2011, Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) y Federación de Comercio Electrónico y Marketing Directo (FECEMD) (asuntos acumulados C-468/10 y C-469/10), al examinar la compatibilidad del artículo 10.2.
- b)del Reglamento de la Ley Orgánica 15/1999 con el artículo 7 de la Directiva 95/46, en la que se enumeraban los casos en que un tratamiento de datos personales puede considerarse lícito. En un criterio reiterado en jurisprudencia posterior (en particular, STJUE de 19 de octubre de 2016, Breyer, C-582/14), el Tribunal señaló que "los Estados miembros no pueden ni añadir al artículo 7 de la Directiva 95/46 nuevos principios relativos a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vendrían a modificar el alcance de alguno de los seis principios establecidos en dicho artículo" (STJUE ASNEF, apartado 32). En particular, el artículo 7.
- f)de la Directiva -precepto paralelo al artículo 6.1.
- f)del Reglamento general aquí en cuestión- establecía dos requisitos acumulativos para que un tratamiento de datos personales fuese lícito, a saber, por una parte, que ese tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos y, por otra parte, que frente a ese interés no prevalezcan los derechos y libertades fundamentales del interesado. Añade la Sentencia que "el segundo de esos requisitos exige una ponderación de los derechos e intereses en conflicto, que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate", y que "corresponde a los Estados miembros, a la hora de adaptar su ordenamiento jurídico a la Directiva 95/46, procurar basarse en una interpretación de ésta que les permita garantizar un justo equilibrio entre los distintos derechos y libertades fundamentales protegidos por el ordenamiento jurídico de la Unión", para en fin concluir que "si una normativa nacional excluye la posibilidad de tratar determinadas categorías de datos personales, estableciendo con carácter definitivo el resultado de la ponderación de los derechos e intereses en conflicto respecto de tales categorías, sin permitir un resultado diferente en atención a las circunstancias de cada caso concreto, no se trata ya de una precisión en el sentido del citado artículo 5" (STJUE ASNEF, apartados 40, 43 y 47; en el mismo sentido, STJUE Breyer, antes citada, apartado 62). (…) En fin, de la jurisprudencia citada y del propio tenor literal del Reglamento se desprende que el modelo querido por el legislador europeo se caracteriza por un alto grado de flexibilidad en la aplicación de este supuesto de licitud de los tratamientos de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/22 Se trata, en definitiva, de atribuir al responsable del tratamiento la responsabilidad de efectuar la correspondiente ponderación de intereses, sin perjuicio de su ulterior control por la Agencia y, en su caso, por las autoridades judiciales. (…) Sin perjuicio de cuanto acaba de observarse, ante la indudable conveniencia de garantizar el máximo grado de seguridad jurídica posible ofreciendo a los operadores ciertas guías en su actuación, sin perjuicio de respetar la aplicabilidad directa del Reglamento Europeo y, en todo caso, con el objetivo de asegurar su efecto útil, el Consejo de Estado desea apuntar, como solución alternativa, la posibilidad de introducir por vía legislativa, en casos puntuales, simples presunciones iuris tantum favorables a la prevalencia del interés legítimo del responsable del tratamiento cuando se cumplan determinados requisitos o condiciones. Esta solución podría resultar conforme a la flexibilidad en la ponderación de intereses y al principio de responsabilidad proactiva del responsable del tratamiento que, como se indicó, persigue la nueva regulación comunitaria. Asimismo, la previsión de simples presunciones salvo prueba en contrario tendría encaje en la jurisprudencia analizada, que prohíbe establecer en una norma nacional el resultado de la citada ponderación "con carácter definitivo (...), sin permitir un resultado diferente", obstáculo que la solución alternativa aquí propuesta permitiría, en principio, evitar. Con todo, la introducción de las presunciones citadas en la Ley cuyo Anteproyecto aquí se dictamina o en otros textos legales, deberá hacerse en textos con rango de ley y en términos que no dejen lugar a dudas, en primer lugar, sobre el carácter de presunción iuris tantum, destruible con prueba en contrario, de la regulación que se efectúa; y, en segundo lugar, sobre el efecto directo del Reglamento Europeo en relación con esta cuestión (lo que exigiría la introducción en todos los casos de la salvedad "Sin perjuicio de lo dispuesto en el artículo 6.1.
- f)del Reglamento (UE) 2016/699").» En este sentido, el artículo 19 de la LOPDGDD establece una “suerte de legitimación legal”, una presunción a favor de quien trate estrictamente los datos establecidos en el precepto y para la específica finalidad prevista en el mismo. Se establece esta presunción iuris tantum, para que quien realice el tratamiento de datos personales no necesite hacer la ponderación del art. 6.1.
- f)RGPD sino que se le presuponga hecha “por la Ley” y se le libere de su realización, lo cual supone que debe destruirse de contrario y que a quien alegue el tratamiento ilegítimo debe probarlo. Y a este respecto, no se han encontrado evidencias que acrediten que el tratamiento en cuestión realizado por NAPPTIVE fuera ilegítimo. En el presente caso, los datos tratados por NAPPTIVE fueron datos de contacto del interesado, en tanto trabajador de la empresa STANCER, no se ha tratado ningún otro dato personal. Y la finalidad de dicho tratamiento fue contactar con la empresa en cuestión para realizar labores de prospección comercial. Es decir, se trata del supuesto de hecho que precisamente el artículo 19 de la LOPDGD pretende amparar. Por todo lo expuesto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, en lo que se refiere al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/22 artículo 6 del RGPD en el presente supuesto. V Obligación incumplida. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado El artículo 14 del RGPD “Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado” establece: “1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
- d)las categorías de datos personales de que se trate;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:
- a)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
- b)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
- c)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- d)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
- e)el derecho a presentar una reclamación ante una autoridad de control;
- f)la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
- g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/22 3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
- a)dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
- b)si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
- c)si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez. 4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
- a)el interesado ya disponga de la información;
- b)la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
- c)la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
- d)cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza legal.” En el presente caso, el 27 de octubre de 2022 la parte reclamante recibió un correo electrónico enviado desde hello@napptive.com con el contenido señalado en el hecho probado primero. Como se desprende de su contenido, en dicho correo electrónico no se proporcionó al interesado la información exigida por el artículo 14 del RGPD a los responsables de tratamiento. Al respecto, cabe destacar que la información proporcionada por el responsable del tratamiento en aplicación del artículo 14 del RGPD permitirá, entre otras cosas, al destinatario de los correos electrónicos de publicidad saber cómo oponerse al tratamiento y la posterior reutilización de sus datos personales. Por tanto, de conformidad con los hechos probados de los que se dispone en el presente momento de resolución del procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a NAPPTIVE, por vulneración del artículo 14 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/22 VI Tipificación y calificación de la infracción del artículo 14 del RGPD Los hechos conocidos son constitutivos de una infracción, imputable a NAPPTIVE, tipificada en el artículo 83.5 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: “(…)
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. (…)” VII Apercibimiento por la infracción del artículo 14 del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” El artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/22 El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, considerando las circunstancias enumeradas en el artículo 83.2 RGPD, se considera conforme a derecho dirigir un apercibimiento a NAPPTIVE. Por lo tanto, de acuerdo con la legislación aplicable y valorada la infracción cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a NAPPTIVE SOLUTIONS, S.L., con NIF B02744027, por una infracción del artículo 14 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a NAPPTIVE SOLUTIONS, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/22 1403-230126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es