PA-00044-2025

1/10  Expediente N.º: EXP202403640 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 10/01/2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la ***ASOCIACIÓN.1 con NIF ***NIF.1 (en adelante, ***ASOCIACIÓN.1). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: La parte reclamante manifiesta que ha sido la fundadora y presidenta de ***ASOCIACIÓN.1 y debido a problemas con esta asociación y a su enfermedad, que se diagnosticó el 1/09/2023, se vio en la necesidad de renunciar al cargo de presidenta. Este cargo lo puso a disposición del arzobispo de ***LOCALIDAD.1, a través de la aplicación de mensajería instantánea WhatsApp, indicándole que era por motivos de salud, sin especificar la gravedad de la enfermedad que padece. Manifiesta la reclamante que el tipo de enfermedad que padece solamente lo comunicó a su familia, amigos más allegados y a los presidentes rocieros de la zona centro y que en ningún momento lo puso en conocimiento de ***ASOCIACIÓN.1, ni al consiliario de la misma, ni a la secretaria, ni al resto de miembros. El día 18/11/2023, la parte reclamante es conocedora de que ***ASOCIACIÓN.1 ha hecho público su nombre y apellidos en todas las páginas de (…), así como que ha procedido al envío de correos electrónicos a parte de sus miembros informando que se ha constituido una nueva Junta Gestora, al haber cesado en su cargo la presidenta, por estar padeciendo una grave enfermedad, y además programando una misa semanal por la salud de la reclamante, todo ello sin su consentimiento. La parte reclamante no es receptora de estos correos y dispone de esta información porque se lo comunican varios componentes de ***ASOCIACIÓN.1. Afirma la parte reclamante, que esta información también es publicada en las redes sociales Facebook, Instagram y Twitter, si bien, aquí han sustituido el motivo de su renuncia al cargo, “la grave enfermedad” por “motivos personales” junto al nombre y apellidos de la reclamante. Junto al escrito, se aporta copia del escrito enviado por correo electrónico (…), así como las direcciones de correo electrónico, alrededor de cuarenta, de miembros de ***ASOCIACIÓN.1, a los que fue enviada la información y adjunta, también, copia de la publicación realizada en ***URL.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ***ASOCIACIÓN.1, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue devuelta por "ausente". La notificación se reiteró por el mismo medio, entregándose el día 08/05/2024. TERCERO: Con fecha 10/04/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD y como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha de 14/10/2024 se recibió en esta Agencia escrito de la parte reclamada en el que se responde al escrito de traslado de la reclamación de 30/04/2024, en el que informaba lo siguiente: “1. Informes técnicos o recomendaciones del responsable de seguridad ***ASOCIACIÓN.1 no cuenta con un responsable técnico formal o un equipo dedicado exclusivamente a la seguridad de la información, dado que somos una organización de carácter privado y sin ánimo de lucro. Sin embargo, seguimos los principios generales del Reglamento General de Protección de Datos (RGPD) para asegurar el tratamiento correcto de los datos personales de nuestros miembros. En el caso específico del comunicado sobre la baja de A.A.A.como presidenta, la información compartida en redes sociales fue limitada a mencionar "motivos personales", sin incluir en ningún momento datos relativos a su salud o información sensible de otro tipo. Tras conocer la reclamación, hemos revisado el contenido y confirmado que en el comunicado no se revela información que pueda ser considerada de categoría especial según el RGPD. 2. Acciones posteriores adoptadas Tras recibir la carta de la AEPD y ser conscientes de la denuncia, se tomaron las siguientes medidas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 Revisión interna del comunicado: Se verificó el contenido del comunicado publicado, concluyendo que no se incluyeron datos de salud ni otra información que pudiera vulnerar la privacidad de A.A.A.. Consulta con un asesor legal: Se buscó asesoramiento legal para asegurar que la publicación cumplía con la normativa de protección de datos. El asesor legal confirmó que la referencia a "motivos personales" no vulnera los derechos de A.A.A. bajo el RGPD. (…)   4. Informe sobre las causas de la incidencia La causa principal de la reclamación parece estar en una posible interpretación de la frase "motivos personales", utilizada en el comunicado, como una insinuación de motivos relacionados con la salud. No obstante, en ningún momento se hizo mención expresa a este tipo de información. ***ASOCIACIÓN.1 toma muy en serio las reclamaciones de sus miembros, por lo que revisamos cuidadosamente el tratamiento de los datos personales en este caso. 5. Medidas adoptadas para evitar futuras incidencias Para evitar que situaciones similares se produzcan en el futuro, hemos decidido implementar las siguientes medidas:    Retirada de la publicación Revisión de comunicados antes de su publicación: Se ha establecido un protocolo para que cualquier comunicado referente a miembros de ***ASOCIACIÓN.1 pase por un proceso de revisión más riguroso, incluyendo la consulta a un asesor legal cuando se considere necesario. Capacitación en protección de datos: Se ha acordado ofrecer formación básica en protección de datos a los miembros de la Junta Directiva y responsables de comunicación, para asegurar el cumplimiento del RGPD en futuras publicaciones.” QUINTO: Con fecha 19/09/2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 5.1.

1. f)del RGPD, tipificada en el artículo 83.5.
2. a)del RGPD. SEXTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la LPACAP, fue recogida en fecha 25/09/2025 como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: En fecha 13/10/2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: - El mensaje enviado fue enviado únicamente a una pluralidad de miembros de ***ASOCIACIÓN.1, con vínculo legítimo e interés institucional en conocer los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 cambios que puedan producirse en el órgano de gobierno de la misma, sin que se enviara a terceros ajenos. - La comunicación se hizo con el propósito de informar de un hecho relevante para los miembros de ***ASOCIACIÓN.1, como es la dimisión de la persona que hasta ese momento había ostentado el cargo de presidenta y el nombramiento de una junta gestora. - La información incluida fue mínima sin identificar enfermedad concreta, ni incluir informe o diagnóstico médico, haciendo referencia a “grave enfermedad que padece” y efectuándose en un marco cerrado, no público. - Alega también la parte reclamada que la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE) y del Comité Europeo de Protección de Datos (CEPD) ha matizado que para una información pueda ser considerada “dato de salud” no basta con una referencia genérica o indirecta a una situación de salud, sino que es necesario que se revele o infiera un estado clínico concreto y se trate esa información con fines médicos o de evaluación de capacidades físicas/psicológicas. Y, en este caso concreto, la información contenida en la comunicación interna fue “con motivo de la grave enfermedad que padece”, por lo que no cabe considerar un tratamiento de datos de salud en el sentido del artículo 9.1 del RGPD. Manifiesta ***ASOCIACIÓN.1 que el tratamiento de datos realizado en este caso se ampararía en el interés legítimo de ***ASOCIACIÓN.1, como responsable del tratamiento y conforme al artículo 6.1
3. f)del RGPD. - En todo caso, ***ASOCIACIÓN.1, ha adoptado medidas correctoras para evitar conflictos futuros, tales como la revisión del protocolo interno de comunicaciones, estandarizados el uso de fórmulas neutras tales como “motivos personales” o “razones sobrevenidas”; formación específica en protección de datos a los miembros de la junta directiva y responsables de comunicación para asegurar el cumplimiento del RGPD; y, la contratación de servicios de consultoría de empresa especializada en el cumplimiento de la normativa de privacidad y protección de datos, que ya ha realizado una auditoría inicial y supervisará futuras actuaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamada realizó el envío de un correo electrónico por la ***ASOCIACIÓN.1 a una pluralidad de personas relacionadas con ***ASOCIACIÓN.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 en el que se informaba de la dimisión de su presidenta y la constitución de una nueva junta gestora. SEGUNDO: En el correo electrónico mencionado se adjuntaba un archivo con un mensaje del párroco de (...), en el que informaba de que A.A.A. había dimitido de la presidencia de ***ASOCIACIÓN.1 a consecuencia de la “grave enfermedad que padece”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las Alegaciones En cuanto a las alegaciones sobre el hecho de que el mensaje enviado fue enviado únicamente a una pluralidad de miembros de ***ASOCIACIÓN.1, con vínculo legítimo e interés institucional en conocer los cambios que puedan producirse en el órgano de gobierno de la misma, sin que se enviara a terceros ajenos, y, que se hizo con el propósito de informar de un hecho relevante para los miembros de ***ASOCIACIÓN.1, como es la dimisión de la persona que hasta ese momento había ostentado el cargo de presidenta y el nombramiento de una junta gestora, debe precisarse que la información pudo haberse trasladado sin efectuar referencia alguna al estado de salud de la parte reclamada, que no había otorgado consentimiento expreso para ello, limitándose exclusivamente a indicar el cese en el ejercicio de su cargo. Con respecto a las alegaciones de que la información incluida fue mínima sin identificar enfermedad concreta, ni incluir informe o diagnóstico médico, haciendo referencia a “grave enfermedad que padece” y que no cabe considerar un tratamiento de datos de salud en el sentido del artículo 9.1 del RGPD, debe tenerse en consideración que la relación entre la mención realizada a cerca de la enfermedad de la parte reclamante y su dimisión reviste la condición de dato de carácter especialmente sensible, en tanto permite inferir información relativa a su estado de salud sin que constara el preceptivo consentimiento expreso de la persona afectada para su comunicación, circunstancia que resulta relevante a efectos de valorar la adecuación de la actuación realizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 Manifiesta ***ASOCIACIÓN.1 que el tratamiento de datos realizado en este caso se ampararía en el interés legítimo de ***ASOCIACIÓN.1, como responsable del tratamiento y conforme al artículo 6.1
4. f)del RGPD. El artículo 6.1
5. f)establece que el tratamiento será lícito cuando sea necesario para la satisfacción de intereses legítimos del responsable o de un tercero, siempre que no prevalezcan los derechos y libertades del interesado. En el presente caso, la comunicación de que una persona presenta su dimisión por motivo de una enfermedad grave comporta la revelación de un dato relativo a su salud, sin que dicha referencia resulte necesaria para la consecución de la finalidad perseguida con la información objeto de la reclamación Por todo ello, esta Agencia considera desestimadas las anteriores alegaciones presentadas por la parte reclamada. También manifiesta, ***ASOCIACIÓN.1, que ha adoptado medidas correctoras para evitar conflictos futuros, tales como la revisión del protocolo interno de comunicaciones, estandarizados el uso de fórmulas neutras tales como “motivos personales” o “razones sobrevenidas”; formación específica en protección de datos a los miembros de la junta directiva y responsables de comunicación para asegurar el cumplimiento del RGPD; y, la contratación de servicios de consultoría de empresa especializada en el cumplimiento de la normativa de privacidad y protección de datos, que ya ha realizado una auditoría inicial y supervisará futuras actuaciones A este respecto, esta Agencia valora positivamente la adopción de nuevas medidas que redunden en una mayor seguridad en lo que al tratamiento de datos personales se refiere y que puedan prevenir, en un futuro, incidentes como el que se sustancia en el presente procedimiento. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ***ASOCIACIÓN.1 realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, tales como nombre, apellidos, DNI, dirección, teléfono, correo electrónico, convicciones religiosas, datos bancarios para la gestión de las cuotas, entre otros. ***ASOCIACIÓN.1 realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Integridad y confidencialidad La letra
6. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." Este principio atribuye a ***ASOCIACIÓN.1, como responsable del tratamiento de datos personales, la obligación de impedir tratamientos no autorizados o ilícitos de estos datos, su pérdida o destrucción. Por lo tanto, debe estar en disposición de garantizar la confidencialidad e integridad de éstos e impedir que terceros accedas a datos que no le conciernen, así como evitar su pérdida o destrucción. El responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice su confidencialidad mediante la aplicación de medidas técnicas u organizativas apropiadas. Para que se produzca una vulneración del art. 5.1.
8. f)del RGPD debe de haberse producido una pérdida de confidencialidad o de integridad. En el presente caso, la ausencia de adopción de estas medidas, se concreta en que la parte reclamada realizó el envío de un correo electrónico, el 15/11/2023, por la ***ASOCIACIÓN.1 a varias personas junto al que se adjuntaba un archivo con un mensaje del párroco de (...), de fecha 10/11/2023, en el que informaba de que A.A.A. había dimitido de la presidencia de ***ASOCIACIÓN.1 a consecuencia de la grave enfermedad que padecía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10 Por otro lado, constan publicaciones en el blog “***BLOG.1”, en la que se difundía el mismo mensaje del párroco de (...) de 10/11/2023 por el que informaba de que la reclamante había dimitido de la presidencia de ***ASOCIACIÓN.1 si bien en este caso, habían procedido a sustituir “grave enfermedad” por “motivos personales”, no suponiendo esta publicación una infracción del artículo 5.1.
9. f)del RGPD. A la vista de lo anterior, en el correo electrónico enviado a una pluralidad de miembros de ***ASOCIACIÓN.1, es donde se difundió información concerniente a la parte reclamante, sobre su dimisión de la presidencia de ***ASOCIACIÓN.1, a consecuencia de la grave enfermedad que padece, sin su consentimiento. Y este hecho, es el que permite inferir el estado de salud de la parte reclamante, que no había autorizado a que se comunicase esta información concerniente a ella. El principio de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no consentidas por los titulares de éstos. Por tanto, de conformidad con los hechos probados de los que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a ***ASOCIACIÓN.1, por vulneración del artículo 5.1 f), transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
10. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10 VI Apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
13. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción de los artículos anteriormente mencionados procede dirigir a ***ASOCIACIÓN.1 un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valoradas las infracciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a ***ASOCIACIÓN.1, con NIF ***NIF.1, por una infracción del artículo 5.1.
14. f)del RGPD, tipificada en el artículo 83.5.
15. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a ***ASOCIACIÓN.1. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-230126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es