1/14 Expediente N.º: EXP202417511 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a A.A.A. con DNI ***NIF.1 (en adelante, A.A.A. o la parte denunciada). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: El Juzgado de lo Penal número (...) remite a esta Autoridad testimonio de la sentencia número ***REFERENCIA.1, dictada en el procedimiento abreviado ***REFERENCIA.2, a los efectos acordados en la propia sentencia. La sentencia deviene firme el 19 de septiembre de 2024. En el fundamento jurídico primero de la sentencia ***REFERENCIA.1, como cuestión previa se recoge “1º La defensa del acusado formula como cuestión previa aportar en ese momento, 1º Antecedentes penales de B.B.B. (…)” “El Ministerio Fiscal considera que es impertinente admitir este documento”. La Sentencia señala que “El documento fotocopia de antecedentes penales de B.B.B., que no ha sido parte de este proceso, se declara impertinente, y se debe denunciar el exceso en la defensa por parte del Letrado de la defensa del acusado, pues ha conocido los antecedentes penales de una persona, en el ejercicio de su profesión de Abogado, pero no puede hacer uso de ellos en otro proceso, por tanto se considera que se debe denunciar este exceso a la Agencia Española de Protección de Datos, por si los hechos pueden ser constitutivos de alguna conducta leve prevista en el art. 74.
- a)de la Ley Orgánica 3/2018,…” Respecto al momento en el que se comete la presunta infracción, del antecedente de hecho primero se desprende que, con fecha 22 de octubre de 2020, tuvo entrada en el Juzgado de lo Penal número (…), procedimiento abreviado instruido por el Juzgado de Instrucción número (…), en el que se decretó, por auto de fecha 31 de julio de 2020, la apertura de juicio oral contra el acusado. Incoado el correspondiente procedimiento por el Juzgado, y previa admisión de los medios de prueba que se estimaron pertinentes, se señaló día para la celebración de juicio oral, que tuvo lugar el ***FECHA.1. Inicialmente se cuenta con la siguiente documentación: - Escrito del Juzgado de lo Penal número (...), en el que comunica que, de conformidad con la Providencia dictada, se adjunta testimonio de la sentencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 ***REFERENCIA.1 dictada en fecha ***FECHA.2, con los efectos acordados en la propia sentencia. - Sentencia número ***REFERENCIA.1 dictada en el procedimiento abreviado ***REFERENCIA.2 por el Juzgado de lo Penal número (…), recoge en la parte dispositiva “Firme que sea esta resolución se procederá a dar traslado de testimonio de los antecedentes penales de B.B.B., como denuncia ante la Agencia de Protección de Datos”. La sentencia, según consta en el oficio recibido del juzgado, se ha declarado firme el 19 de septiembre de 2024. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 18 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En fecha 30 de mayo de 2025 A.A.A. presentó escrito de contestación a requerimiento de esta Agencia, en el que figuran, entre otros, los siguientes aspectos: - “(…) Durante años llevo la defensa de C.C.C., siendo este último la víctima de numerosas suplantaciones de identidad y estafas por parte de su antiguo socio B.B.B., motivo por el cual me encuentro personado en más de diez causas por delitos de la misma naturaleza como a continuación se acreditará. En todas las causas penales tanto en fase de instrucción como en la fase del juicio oral se solicitan los antecedentes penales de los investigados o acusados, todo ello, para que tanto el Tribunal competente, como las acusaciones, así como las defensas tengan derecho y acceso a las mismas para su correcta calificación y defensa. Efectivamente, esta representación letrada obtuvo a través de otras causas los antecedentes penales de B.B.B. y así se lo hizo saber al Ilmo. Juez del Juzgado de lo Penal número (...), aportando junto a la misma como cuestión previa las siguientes resoluciones judiciales: ➢ Sentencia nº ***REFERENCIA.3, dictada por el Juzgado de lo Penal (…),por el que se condena a B.B.B. y se absuelve a mi representado C.C.C.. ➢ Auto de 15 de enero de 2.020, dictado por el Juzgado de Instrucción nº (…), por el que se dicta Auto del Procedimiento Abreviado contra B.B.B. y por el que se acuerda el sobreseimiento provisional respecto de mi representado C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 ➢ Auto de 6 de septiembre de 2.019, dictado por el Juzgado de Instrucción nº (…), por el que se dicta Auto de continuación del Procedimiento Abreviado contra B.B.B. y por el que se acuerda el sobreseimiento provisional respecto de mi representado C.C.C. y de D.D.D..” - En relación con los datos que contenían los antecedentes penales manifiesta que: “Los Datos obtenidos a través del Registro Central de Penados del Ministerio de Justicia, contiene las Sentencias de carácter penal por los que ha sido condenado una persona (Juzgado, Autos de Ejecutoria, Delito, Fecha firmeza…).” - “Que la aportación de antecedentes penales ha sido obtenida legítimamente al estar personado en otras causas y cumpliéndose con todas las garantías de la Protección de Datos al ser entregadas directamente en sede judicial a SSª, amparándose todo ello, en el derecho a utilizar los medios de prueba pertinentes para la defensa reconocida en el artículo 24.2 de la Constitución Española”. En relación con la solicitud realizada a A.A.A. requiriéndole que presente la documentación justificativa de haber informado a B.B.B. de la posibilidad de usar sus antecedentes penales en diferentes actividades de tratamiento, incluido en otros procedimientos judiciales ajenos al mismo, no aporta documentación que acredite el consentimiento. CUARTO: Con fecha 17 de noviembre de 2025, la Presidencia de la Agencia Española acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 5.1.
- b)Del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante, RGPD), tipificada en el artículo 83. 5 del RGPD. QUINTO: La notificación del citado acuerdo de inicio, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida el 21 de noviembre de 2025. SEXTO: En fecha 5 de diciembre de 2025, se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: - Primera: sobre la legitimidad en el acceso y tratamiento de los antecedentes penales de un tercero. Segunda: Sobre la finalidad y el uso de los datos. Tercera: Sobre la base de legitimación y el secreto profesional. Cuarta: Sobre la ausencia de ilicitud en el tratamiento. Quinta: Sobre la jurisprudencia y doctrina relevante. El escrito de alegaciones se acompaña de los siguientes documentos: - DPA Diligencias previas ***REFERENCIA.4, del Jugado de 1ª Instancia e Instrucción Nº (…). Auto número ***REFERENCIA.5 del Juzgado de Instrucción nº (…). Sentencia número ***REFERENCIA.3 del Juzgado de lo Penal número (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran los siguientes: HECHOS PROBADOS PRIMERO: En el marco del ***REFERENCIA.2 finalizado mediante sentencia del Juzgado de lo Penal nº (...) de fecha ***FECHA.2, la defensa aportó entre otros documentos, los antecedentes penales de B.B.B., que no era parte en dicho proceso. La pertinencia de aportar dicho documento fue rechazada por el Ministerio Fiscal. SEGUNDO: La parte reclamada reconoce, en su escrito de fecha 30/05/2025, que obtuvo el citado certificado a través de otros procedimientos judiciales que había mantenido con B.B.B. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A. realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, en el caso que nos ocupa un certificado de antecedentes penales de B.B.B. A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien trata los datos personales, en virtud del artículo 4.7 del RGPD. IV Contestación a las alegaciones presentadas al acuerdo de inicio Procede, en primer lugar, atender las alegaciones presentadas al acuerdo de inicio del procedimiento de apercibimiento. Primera: Sobre la legitimidad en el acceso y tratamiento de los antecedentes penales de un tercero, la denunciada afirma que: “Esta parte reitera que el acceso a los antecedentes penales de B.B.B. se produjo en el marco de la defensa letrada de (….). En todas las causas penales en las que he intervenido como defensa, tanto en fase de instrucción como en juicio oral, se han solicitado los antecedentes penales de los investigados o acusados, siendo este un trámite habitual y necesario para la correcta calificación jurídica y defensa de los intereses de mi representado. El acceso a dichos datos se realizó, por tanto, en el ejercicio legítimo de la defensa y conforme a las garantías procesales y de protección de datos, entregándose la documentación directamente en sede judicial a SSª.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 La Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, establece en el Título II “De los Abogados, Procuradores y Graduados Sociales” que los abogados deberán guardar secreto de todos los hechos o noticias de que conozcan por razón de cualquiera de las modalidades de su actuación profesional tal y como determina el art. 542.3 de la Ley Orgánica del Poder Judicial, lo que constituye un límite probatorio, y ello es así porque los derechos a la tutela judicial efectiva y a utilizar medios de prueba no significan que pueda realizarse cualquier tratamiento de datos sin ninguna limitación, sobre todo cuando existe una obligación de secreto profesional, pues en estos casos los datos tienen que ser tratados de conformidad con tal obligación de secreto. De esta manera, podría concluirse que las pruebas obtenidas por los abogados de las partes en procesos judiciales no pueden utilizarse posteriormente en otros procedimientos, que no guardan relación alguna con aquellas partes que representaron, sin consentimiento de los titulares de los datos o sin que concurra otra base de legitimación al existir una obligación de secreto profesional que impide que pueda declararse la compatibilidad de estos nuevos fines con los fines originarios. A.A.A. ha tenido conocimiento del documento que nos ocupa, de un certificado de antecedentes penales perteneciente a B.B.B., aportado en otros procedimientos judiciales. Y, aun enmarcado el conocimiento de dichos datos personales y, por lo tanto, su tratamiento, en otros procedimientos, los ha utilizado y, por lo tanto, vuelto a tratar, en el marco de otro procedimiento diferente del que, además, no formaba parte. Por lo tanto, se desestima la presente alegación. Segunda: Sobre la finalidad y el uso de los datos, la denunciada afirma que “La aportación de los antecedentes penales de B.B.B. en el procedimiento seguido ante el Juzgado de lo Penal nº (...) se realizó como cuestión previa, junto con otras resoluciones judiciales en las que constaba mi personación en defensa de (….). La finalidad de dicha aportación fue acreditar hechos relevantes para la defensa de mi cliente, en el marco del derecho fundamental a la tutela judicial efectiva y a utilizar los medios de prueba pertinentes, reconocido en el artículo 24.2 de la Constitución Española.” El artículo 24 de la Constitución española recoge el derecho a “(…) utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia”. En respuesta a lo alegado, cabe recordarse que la aportación de un dato personal al proceso judicial con finalidad de prueba solo puede producirse cuando existe una base jurídica que lo legitime (licitud del tratamiento). Con carácter general, dicha licitud existirá en los supuestos previstos en el artículo 6.1 RGPD: “consentimiento del interesado; tratamiento necesario para la ejecución de un contrato en el que el interesado es parte; tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; (….)”. El titular del certificado de antecedentes penales objeto de este expediente es B.B.B., pero no consta su consentimiento al tratamiento efectuado por la parte denunciada en el procedimiento objeto de denuncia ni se acredita causa de licitud para este. Tampoco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 consta ninguna otra base de licitud del tratamiento de las establecidas en el art. 6.1 RGPD. Por lo tanto, se desestima la presente alegación. Tercera: Sobre la base de legitimación y el secreto profesional, alega que “La obtención y tratamiento de los antecedentes penales se realizó en el contexto de procedimientos judiciales en los que esta parte estaba personada, y siempre en defensa de los intereses de mi cliente. La información fue obtenida a través del Registro Central de Penados del Ministerio de Justicia, conforme a la práctica habitual en los procedimientos penales, y su uso se limitó a la defensa procesal, sin que conste un uso ulterior ajeno a dicha finalidad. En ningún momento se ha vulnerado el deber de secreto profesional, ya que la información fue utilizada exclusivamente en el ámbito judicial y en defensa de los intereses de mi representado, sin que se haya producido una difusión o comunicación pública de los datos.” El preámbulo de la LOPDGDD establece que la protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental protegido por el artículo 18.4 de la Constitución española. Asimismo, el Tribunal Constitucional señaló en la Sentencia 292/2000, de 30 de noviembre, que lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. En el requerimiento de información remitido a A.A.A., el 16/05/2025, por esa autoridad, se le solicitaba documentación justificativa de haber informado al tercero ajeno de la obtención de esos datos, información que la parte reclamada no facilitó a esta Agencia. Al respecto, debemos destacar que la obtención y por lo tanto, el tratamiento de datos personales con una finalidad- en este caso, enmarcada en las causas anteriores en las que las partes fueron, a su vez, parte- no constituye una base de legitimación suficiente para un tratamiento ulterior que excede de la finalidad inicialmente pretendida y para un procedimiento en el que el interesado titular de los datos objeto de tratamiento no era parte. En este sentido se debe recordar la STJUE de 4 de septiembre de 2023, en el asunto C-655/23, que determina que la mera pérdida de control sobre los propios datos personales por los interesados como consecuencia de una infracción del RGPD, aun cuando no se haya producido concretamente un uso indebido de los datos en cuestión puede bastar para causar "daños y perjuicios inmateriales": "59 En segundo lugar, como ha señalado la Comisión Europea en sus observaciones escritas, unas situaciones, como las que se invocan en el litigio principal, relativas a un «daño para la reputación» como consecuencia de una violación de la seguridad de los datos personales o a una «pérdida de control» sobre tales datos, figuran expresamente entre los ejemplos de posibles daños y perjuicios que se relacionan en los considerandos 75 y 85 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 60. En particular, el Tribunal de Justicia ha subrayado que de la lista ilustrativa de los «daños» o los «perjuicios» que pueden sufrir los interesados que figura en el considerando 85, primera frase, del RGPD se desprende que el legislador de la Unión quiso incluir en estos dos conceptos, en particular, la mera «pérdida de control» sobre los propios datos personales de esos interesados como consecuencia de una infracción de dicho Reglamento, aun cuando no se haya producido concretamente un uso indebido de los datos en cuestión. Tal pérdida de control puede bastar para causar «daños y perjuicios inmateriales», en el sentido del artículo 82, apartado 1, de dicho Reglamento, siempre que ese interesado demuestre que ha sufrido efectivamente tales daños y perjuicios, por mínimos que sean, sin que ese concepto de «daños y perjuicios inmateriales» requiera la demostración de la existencia de consecuencias negativas tangibles adicionales (véase, en este sentido, la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C 200/23, EU:C:2024:827, apartados 145, 150 y 156 y jurisprudencia citada)". Por lo tanto, se desestima la presente alegación. Cuarta: Sobre la ausencia de ilicitud en el tratamiento. No puede considerarse ilícito el tratamiento de los datos personales realizado en este caso, ya que se ha actuado en el marco de la defensa letrada, con base en el derecho a la tutela judicial efectiva y a la utilización de los medios de prueba pertinentes. La aportación de los antecedentes penales se realizó ante el órgano judicial competente, en el contexto de un procedimiento penal en el que los hechos objeto de defensa guardaban relación directa con la persona cuyos datos se aportaron, y en el que existía un interés legítimo y una conexión procesal relevante. El RGPD considera que el tratamiento de datos personales solo será lícito si se cumple al menos una de las condiciones del artículo 6: “
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales” (….) En la documentación que obra en el expediente no se ha acreditado que B.B.B. haya consentido en el tratamiento de sus datos personales en el proceso penal sustanciado, ni tampoco que fuera conocedor de que sus antecedentes penales estuvieran en posesión de A.A.A. A su vez, no consta que la parte reclamada tampoco haya acreditado que tuviera una relación contractual con A.A.A. Por lo que no existe causa de licitud, tal y como establece el RGPD. Asimismo, recordemos que nos encontramos ante un tratamiento inicial de datos personales que tenían una finalidad concreta- la defensa en unos procedimientos anteriores que afectaban a las partes- que ha derivado en un tratamiento ulterior sin contar con base de legitimación y, por lo tanto, infringiendo el principio de limitación de finalidad previsto en el art. 5.1
- b)Por lo tanto, se desestima la presente alegación. Quinta: Sobre la jurisprudencia y doctrina relevante, alega la denunciada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 “La legitimidad del tratamiento de antecedentes penales en el ejercicio del derecho de defensa en procedimientos judiciales en España está expresamente reconocida por la legislación vigente, en particular por el artículo 10 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, que permite a abogados y procuradores tratar estos datos cuando sea necesario para el ejercicio de sus funciones profesionales. Esta habilitación legal se ve reforzada por la doctrina de la Agencia Española de Protección de Datos, que ha confirmado que exigir el consentimiento del titular de los datos para su tratamiento en el contexto de un procedimiento judicial podría menoscabar el derecho a la tutela judicial efectiva, por lo que el tratamiento de estos datos es legítimo cuando resulta necesario para la defensa. Así, tanto la legislación como la interpretación administrativa convergen en reconocer la legitimidad del tratamiento de antecedentes penales en el ejercicio del derecho de defensa, siempre dentro de los límites y finalidades legalmente establecidos.” La LOPDDD, recoge en el artículo 10, el tratamiento de datos de naturaleza penal, en los siguientes términos: 1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal. (….) 3. Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones. Como hemos mencionado en la alegación cuarta, los hechos probados del presente procedimiento han acreditado que la información sobre antecedentes penales de B.B.B., fue obtenida por A.A.A. de otros procesos judiciales en los que había actuado como defensor judicial de un tercero. Su uso posterior, como efectivamente también ha quedado acreditado, supone una infracción del principio de limitación del tratamiento previsto en el art. 5.1
- b)del RGPD. Por lo tanto, se desestima la presente alegación. IV Obligación incumplida En el presente caso se procede a examinar la denuncia remitida por el Jugado de lo Penal número (...) con relación al tratamiento de datos efectuado por A.A.A., presuntamente sin causa justificada, pudiendo afectar a los derechos de B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 Los hechos se concretan en la determinación de si la aportación de un certificado de antecedentes penales de persona física (datos personales) en un proceso judicial, en el que B.B.B. no es parte, se encuentra fuera de los límites legalmente establecidos. El artículo 5.1
- b)del RGPD regula los principios relativos al tratamiento de datos personales indicando lo siguiente, Los datos personales serán: “
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);”. Se añade que el considerando 50 del citado RGPD, señala: “(…) Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la recogida inicial de los datos personales, el responsable del tratamiento, tras haber cumplido todos los requisitos para la licitud del tratamiento original, debe tener en cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en particular las expectativas razonables del interesado basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los interesados del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista. (…)”. Cabe recordar que el artículo 10 del RGPD, relativo al tratamiento de datos personales relativos a condenas e infracciones penales, indica: “El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas”. Asimismo, la LOPDGDD establece en su artículo 10 que los datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en la propia LOPDGDD o en otras normas de rango legal. El apartado 3 del mismo artículo recoge [….] “los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 En el presente caso se pone de manifiesto que A.A.A., realiza un tratamiento de datos personales de un tercero, no autorizado o ilícito, puesto que no consta que concurra alguna de las causas de licitud recogidas en el artículo 6 del RGPD. El RGPD considera lícito el tratamiento de datos personales si se cumple al menos una de las condiciones del artículo 6, “
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos”, no consta en el expediente el consentimiento al tratamiento de sus datos personales, otorgado por B.B.B. En el caso que nos ocupa A.A.A. no tiene ninguna relación contractual con B.B.B., por tanto, aquel no podría tratar datos de este, en nuestra situación un certificado de antecedentes penales, documento que permite acreditar la carencia o existencia de antecedentes penales que constan en el Registro Central de Penados en la fecha que son expedidos, ya que esta información es únicamente para que abogados y procuradores puedan ejercer las funciones en relación con sus clientes. A mayor abundamiento, el artículo 236 quinquies de la Ley Orgánica 1/1985, del Poder Judicial, establece en su apartado 2 “En todo caso, será de aplicación lo dispuesto en la legislación de protección de datos de carácter personal al tratamiento que las partes lleven a cabo de los datos que hubieran sido revelados en el desarrollo del proceso.” Continúa la ley en el apartado 3, donde establece que: “Los datos personales que las partes conocen a través del proceso deberán ser tratados por éstas de conformidad con la normativa general de protección de datos. Esta obligación incumbe a los profesionales que representan y asisten a las partes, así como a cualquier otro que intervenga en el procedimiento.” Asimismo, se ha de tener en cuenta en este caso, que los abogados deberán guardar secreto de todos los hechos o noticias de que conozcan por razón de cualquiera de las modalidades de su actuación profesional tal y como determina el art. 542.3 de la Ley Orgánica del Poder Judicial, lo que constituye un límite probatorio, y ello es así porque los derechos a la tutela judicial efectiva y a utilizar medios de prueba no significan que pueda realizarse cualquier tratamiento de datos sin ninguna limitación, sobre todo cuando existe una obligación de secreto profesional, pues en estos casos los datos tienen que ser tratados de conformidad con tal obligación de secreto. De esta manera, puede concluirse que las pruebas obtenidas por los abogados de las partes en procesos judiciales no pueden utilizarse posteriormente en otros procedimientos, que no guardan relación alguna con aquellas partes que representaron, sin consentimiento de los titulares de los datos o sin que concurra otra base de legitimación al existir una obligación de secreto profesional que impide que pueda declararse la compatibilidad de estos nuevos fines con los fines originarios. A.A.A. ha tenido conocimiento del documento que nos ocupa, de un certificado de antecedentes penales perteneciente a B.B.B., al haberse personado como parte defensora en otros procedimientos judiciales. Y lo ha utilizado en un procedimiento en el que B.B.B. no era parte, circunstancia que constituye un tratamiento ulterior con una finalidad no compatible con la perseguida en el tratamiento inicial. Conviene recordar que el responsable del tratamiento debe adoptar las medidas necesarias para asegurar la protección de los derechos y libertades de las personas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 físicas con respecto al tratamiento de sus datos personales y que está en condiciones de cumplir sus obligaciones en materia de protección de datos. En consecuencia, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada por vulneración del artículo 5.1.
- b)del RGPD. V Tipificación de la infracción El artículo 83.1 RGPD dispone: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias”. El artículo 83.5 RGPD dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9. El artículo 72 de la LOPDGDD apartado 1º letra
- a)establece un plazo de prescripción de tres años “las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” VI Apercibimiento por infracción del artículo 5.1.
- b)del RGPD Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”. El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo 5.1.
- b)del RGPD procedería dirigir a la parte denunciada un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorada la infracción cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1, por una infracción del artículo 5.1
- b)del RGPD tipificada en el artículo 83.5 del mismo Reglamento. SEGUNDO: NOTIFICAR el presente acuerdo a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-230126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es