1/10 Expediente N.º: EXP202505403 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a PF TIEMPO Y SALUD, S.L. con NIF B88338140 (en adelante, PF TIEMPO Y SALUD). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: El reclamante manifiesta que en fecha 22 de mayo de 2023 solicitó la supresión de sus datos a PF TIEMPO Y SALUD enviando un correo electrónico a la dirección electrónica oficina@tiempoysalud.es. En fecha 24 de mayo de 2023 recibió contestación desde la dirección electrónica gestiones@tiempoysalud.es en la que se le solicitaba información de su número de teléfono móvil para proceder al bloqueo de sus datos. Señala que remitió dicha referencia, recordando a PF TIEMPO Y SALUD que debían ser suprimidos sus datos, y en fecha 17 de julio de 2023 recibió una nueva contestación desde la dirección electrónica gestiones@tiempoysalud.es en la que le comunicaban el bloqueo de sus datos, y con copia a otra dirección de correo electrónica ajena, ***EMAIL.1. Junto a la reclamación aportaba la siguiente documentación: - Copia del correo electrónico, de fecha 24 de mayo de 2023 a las 10:39 horas, enviado desde la dirección electrónica gestiones@tiempoysalud.es al reclamante (***EMAIL.2). El asunto es “Derecho de supresión de datos personales” y su contenido es el siguiente: “Buenos días A.A.A., Hemos recibido su reclamación, primero que todo pedirle disculpas por las molestias ocasionadas. Por otro lado, para poder bloquear todos sus datos personales necesito que me facilite el/los números de teléfono que desee bloquear para poder realizar los trámites correspondientes. Quedo a la espera, un saludo. Atentamente, Equipo PF Tiempo y Salud, S.L.U. ***DIRECCIÓN.1” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 - Copia del correo electrónico, de fecha 24 de mayo de 2023 a las 10:43 horas, enviado por el reclamante (***EMAIL.2) a la dirección electrónica gestiones@tiempoysalud.es. El asunto es “Derecho de supresión de datos personales” y su contenido es el siguiente: “Buenos días, El número es ***TELÉFONO.1. Les recuerdo que según la ley, no es suficiente con bloquear los datos, estos deben ser eliminados de todos sus sistemas. Un saludo” - Copia del correo electrónico, de fecha 17 de julio de 2023 a las 11:12 horas, enviado desde la dirección electrónica gestiones@tiempoysalud.es al reclamante (***EMAIL.2) y con copia a ***EMAIL.1. El asunto es “RGPDDerecho de supresión de datos personales” y su contenido es el siguiente: “Estimado A.A.A, En atención a su solicitud, le pedimos disculpas por las molestias que le hayamos podido ocasionar y le informamos que esta empresa se puso en contacto con Ud. mediante llamadas telefónicas realizadas al número que indica mediante una asignación aleatoria. También le informamos que dicho número fue previamente cruzado con los números vigentes en Lista Robinson, en cumplimiento de la normativa vigente. Le comunicamos que dicho número que nos ha indicado ha sido bloqueado junto con el resto de sus datos personales, y no volverá a recibir ninguna llamada de esta empresa. Disculpe de nuevo las molestias que hayamos podido ocasionarle y reciba un cordial saludo, El Equipo de PF Tiempo y Salud, SLU Atentamente, Equipo PF Tiempo y Salud, S.L.U. ***DIRECCIÓN.1” SEGUNDO: Con fecha 19 de septiembre de 2023, esta Agencia consultó la Política de privacidad del sitio web http://tiempoysalud.es/. Se destaca lo siguiente: “¿Quién es el responsable del tratamiento de sus datos? Denominación Social: PF TIEMPO Y SALUD, S.L.U. (PF Tiempo y Salud) Domicilio Social: ***DIRECCIÓN.1 CIF / NIF: B88338140 Teléfono: +34) 722 185 202 Email: oficina@tiempoysalud.es Inscrita en el Registro Mercantil de Madrid al Tomo 38871, Folio 147, Hoja M690948.” “¿Cuáles son sus derechos cuando nos facilita sus datos? Los derechos de protección de datos que podrán ejercer los interesados, cuando procedan, son: Derecho a solicitar el acceso a los datos personales relativos al interesado. Derecho de rectificación o supresión. Derecho de oposición. Derecho a solicitar la limitación de su tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 Derecho a la portabilidad de los datos. Derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de datos. Los titulares de los datos personales obtenidos podrán ejercer sus derechos de protección de datos personales dirigiendo una comunicación por escrito al domicilio social de PF Tiempo y salud o mediante correo electrónico a la siguiente dirección: oficina@tiempoysalud.es Puede encontrar modelos, formularios y más información disponible sobre sus derechos en la página web de Agencia Española de Protección de Datos (AEPD) www.aepd.es” TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 25 de septiembre de 2023 se dio traslado de dicha reclamación a PF TIEMPO Y SALUD, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se notificó el 25 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 6 de octubre de 2023 se recibió en esta Agencia escrito de respuesta de PF TIEMPO Y SALUD en el que, en síntesis: 1. Confirmaba haber recibido en la dirección electrónica oficina@tiempoysalud.es una solicitud de supresión de datos personales asociados a A.A.A. y enviada desde la dirección electrónica ***EMAIL.2. 2. Afirmaba haber respondido a la solicitud de supresión del reclamante el 24 de mayo y 17 de julio de 2023 a través de correo electrónico, como consta en la documentación adjunta a la reclamación, y bloqueado los datos del reclamante, cumpliendo con lo dispuesto en la normativa de protección de datos de carácter personal. 3. Señalaba que el único dato personal que tenía del reclamante era su número de teléfono obtenido de forma aleatoria no teniendo información personal derivada del mismo, y, por tanto, era el único dato que bloqueó. CUARTO: Con fecha 18 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: Con fecha 16 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a PF TIEMPO Y SALUD, por la presunta infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RPGD. SEXTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, no fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 recogida por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el artículo 43.2 de la LPACAP en fecha 2 de mayo de 2025, como consta en el certificado que obra en el expediente. SÉPTIMO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por PF TIEMPO Y SALUD. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 24 de mayo de 2023, a las 10:39 horas, PF TIEMPO Y SALUD envió desde gestiones@tiempoysalud.es un correo electrónico al reclamante (***EMAIL.2) con el asunto “Derecho de supresión de datos personales”. Su contenido es el siguiente: “Buenos días A.A.A., Hemos recibido su reclamación, primero que todo pedirle disculpas por las molestias ocasionadas. Por otro lado, para poder bloquear todos sus datos personales necesito que me facilite el/los números de teléfono que desee bloquear para poder realizar los trámites correspondientes. Quedo a la espera, un saludo. Atentamente, Equipo PF Tiempo y Salud, S.L.U. ***DIRECCIÓN.1” SEGUNDO: El 24 de mayo de 2023, a las 10:43 horas, el reclamante (***EMAIL.2) envió un correo electrónico a PF TIEMPO Y SALUD (gestiones@tiempoysalud.
- es)con el asunto “Derecho de supresión de datos personales”. Su contenido es el siguiente: “Buenos días, El número es ***TELÉFONO.1. Les recuerdo que según la ley, no es suficiente con bloquear los datos, estos deben ser eliminados de todos sus sistemas. Un saludo” TERCERO: El 17 de julio de 2023, a las 11:12 horas, PF TIEMPO Y SALUD (gestiones@tiempoysalud.
- es)envió un correo electrónico al reclamante (***EMAIL.2) con copia a ***EMAIL.1. El asunto es “RGPD-Derecho de supresión de datos personales” y su contenido es el siguiente: “Estimado A.A.A., En atención a su solicitud, le pedimos disculpas por las molestias que le hayamos podido ocasionar y le informamos que esta empresa se puso en contacto con Ud. mediante llamadas telefónicas realizadas al número que indica mediante una asignación aleatoria. También le informamos que dicho número fue previamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 cruzado con los números vigentes en Lista Robinson, en cumplimiento de la normativa vigente. Le comunicamos que dicho número que nos ha indicado ha sido bloqueado junto con el resto de sus datos personales, y no volverá a recibir ninguna llamada de esta empresa. Disculpe de nuevo las molestias que hayamos podido ocasionarle y reciba un cordial saludo, El Equipo de PF Tiempo y Salud, SLU Atentamente, Equipo PF Tiempo y Salud, S.L.U. ***DIRECCIÓN.1” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1 del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2 del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que PF TIEMPO Y SALUD realiza, entre otros tratamientos, la recogida, utilización y conservación de datos personales como el número de teléfono. Por su parte, el artículo 4.7 del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Y, el artículo 4.8) del RGPD define a la figura del «encargado del tratamiento» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” PF TIEMPO Y SALUD realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. En consecuencia, cabrá exigir responsabilidad administrativa por los presuntos incumplimientos cometidos a PF TIEMPO Y SALUD, como responsable del tratamiento de los datos personales. III Principio de integridad y confidencialidad El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El principio de confidencialidad recogido en citado artículo 5.1
- f)del RGPD, obliga a los responsables del tratamiento a garantizar que los datos personales sean tratados de forma que se garantice la confidencialidad de los datos personales, evitando accesos no autorizados, usos indebidos o divulgación a terceros no autorizados. Ello exige implementar medidas técnicas y organizativas apropiadas de todo tipo para proteger los datos frente a posibles brechas de datos personales, tanto externas como internas. Dichas medidas deben ser adecuadas para evitar que se materialicen los riesgos en los derechos y libertades de las personas físicas que puedan derivarse del tratamiento, y deben ser revisadas y actualizadas periódicamente para garantizar su eficacia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 En el presente caso, la documentación obrante en el expediente administrativo deja constancia de que el 17 de julio de 2023, a las 11:12 horas, el reclamante (***EMAIL.2) recibió un correo electrónico de PF TIEMPO Y SALUD (gestiones@tiempoysalud.
- es)en el que le comunicaba el bloqueo de su número de teléfono “junto con el resto de sus datos personales”, en atención a su solicitud de supresión. Dicho correo electrónico también fue remitido a un tercero, ***EMAIL.1, lo que pone de manifiesto la pérdida de confidencialidad de los datos personales del reclamante, en concreto, de su dirección electrónica, nombre y apellidos; desde el momento en que fueron expuestos a un tercero no autorizado. Por su parte, PF TIEMPO Y SALUD en su contestación al traslado de la reclamación reconoció, no solo haber recibido la solicitud de supresión del reclamante en su dirección electrónica oficina@tiempoysalud.es; sino también, haber respondido a dicha solicitud el 24 de mayo y 17 de julio de 2023 en la forma que consta en la documentación aportada por el reclamante. Asimismo, PF TIEMPO Y SALUD debería haber aplicado unas medidas técnicas y organizativas adecuadas que impidieran un tratamiento ilícito de los datos personales del reclamante. Sin embargo, la ausencia o inadecuación de dichas medidas provocó la pérdida de confidencialidad de sus datos personales materializada en el acceso por un tercero no autorizado (***EMAIL.1) a su dirección electrónica, nombre y apellidos. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a PF TIEMPO Y SALUD, por vulneración del artículo 5.1.
- f)del RGPD. V Tipificación de la infracción del artículo 5.1.
- f)del RGPD y calificación a efectos de prescripción La citada infracción del artículo 5.1.
- f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Apercibimiento por la infracción del artículo 5.1.
- f)del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- a)(…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo 5.1.
- f)del RGPD procede dirigir a PF TIEMPO Y SALUD un apercibimiento. VII Medidas correctivas Se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10 tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Se requiere a PF TIEMPO Y SALUD para que en el plazo máximo de 3 MESES acredite la adopción o, en su caso, aplicación efectiva de las medidas técnicas y organizativas adecuadas para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
- f)del RGPD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a PF TIEMPO Y SALUD, S.L., con NIF B88338140, por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: ORDENAR a PF TIEMPO Y SALUD, S.L., con NIF B88338140, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 3 MESES desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a la adopción o, en su caso, aplicación efectiva de las medidas técnicas y organizativas adecuadas para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
- f)del RGPD. TERCERO: NOTIFICAR la presente resolución a PF TIEMPO Y SALUD, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es