← España

PA-00055-2025

1/8  Expediente N.º: EXP202501084 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de diciembre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por A.A.A. (en adelante, la parte reclamante) por una posible infracción imputable a FEDERACIÓN DE ASOCIACIONES CANINAS PARA EL FOMENTO DE LAS RAZAS PURAS con NIF G84874692 (en adelante, F. A. C. o parte reclamada). Los hechos que se ponen en conocimiento de esta autoridad son: La parte reclamante manifiesta que el 10 de diciembre de 2024 la parte reclamada ha publicado un comunicado en el que se exponen sus datos personales sin mediar su consentimiento. Señala asimismo que en las webs de la parte reclamada no se incluye información sobre el tratamiento de datos. Aporta copia del comunicado y documento en el que aparecen los datos identificativos y su número de documento nacional de identidad. Documentación relevante aportada por la parte reclamante: - Copia del comunicado de la FAC- Federación de Asociaciones Caninas de fecha 11 de diciembre (de 2024) publicado en su Facebook. En este comunicado se indica: “COMUNICADO 2 como continuidad al comunicado de ayer y viendo que hay mucha gente afectada por A.A.A. queremos exponer que: - Toda la documentación que ella ha expedido no es válida. - Los altas de afijo los expide FAC desde su central en Madrid, en ningún momento ninguna delegación. - Los cursos que ha estado impartiendo ella de etología y crianza canina no se van a homologa por FAC ya que esos cursos están registrados con propiedad intelectual a nombre de B.B.B. y solo ella imparte, examina y da titulación. - Los cursos de jueces que esta señora también ha impartido tampoco son válidos, ya esos cursos y esta titulación las otorga FAC. FAC seguirá trabajando para esclarecer todo lo que ha acontecido en esa delegación y está a disposición de quien lo solicite el acuerdo firmado con la misma donde queda claro y patente lo que podían hacer y lo que no. Gracias por hacernos llegar por distintas vías toda la información que tenéis que ya es mucha. Un saludo”. -Documento en el que aparecen los datos identificativos y número de documento nacional de identidad de la afectada. El documento aportado es una copia de un certificado acreditativo de que la parte reclamante a fecha ***FECHA.1 es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 ***PUESTO.1 en 10 provincias, expedido por el ***PUESTO.2, en el que figuran los datos personales de nombre, apellidos y DNI de la parte reclamante, si bien no consta acreditado que el mismo se haya obtenido en los sitios web de la FAC. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a F. A. C., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogida por la parte reclamada, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 27/01/2025. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 19 de marzo de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En fecha 19/09/2025, C.C.C. en calidad de ***PUESTO.2 acudió presencialmente a la sede de esta Agencia, y se le hizo entrega del traslado de la reclamación, así como de los requerimientos de información realizados en el seno de las actuaciones previas de investigación. La parte reclamada presentó en fecha 01/10/2025 escrito de contestación, en el que manifiesta entre otros extremos lo siguiente: - Que las webs no están operativas desde hace un año aproximadamente como es fácil de comprobar, siendo estas las siguientes: (…). A.A.A., actuaba en nombre de la federación (de nombre abreviado FAC), como delegada del mismo y en especial para la apertura de la delegación en las dependencias del Ayuntamiento a fin de preparar el convenio regulador, hecho que nunca se produjo. Asimismo, el contenido del acuerdo contiene la estipulación dineraria que recibiría A.A.A., de cuyos resultados debería estar informado y practicada la liquidación pertinente, como resultaba preceptivo. Siendo el motivo de la publicación en ´Facebook, en los grupos que se mueve la federación, el dar cuenta de que dicho acuerdo quedaba sin efecto, debido a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 la apropiación indebida del dinero percibido y que no se gestionase nada con esta persona, dado que ella misma publicitaba por estos medios su vinculación con FAC y el domicilio previsto en ***LOCALIDAD.1. En evitación de que se realizasen más pagos a estas personas. Documentación relevante aportada por la parte reclamada: - - Captura de pantalla de Facebook, de fecha 13/04/2023, en la que se publicita un curso de formación figurando como datos de contacto para más información un número de teléfono móvil, como persona de contacto A.A.A. y como dirección URL: (…). Captura de pantalla de los comunicados publicados en el Facebook de la Federación en fechas 10, 11 y 29 de diciembre de 2024, en el que se observa que solo se recogen los datos identificativos de nombre y apellidos de la parte reclamante, no figurando en ninguno de ellos su DNI. Una vez recibida la contestación al requerimiento de información de esta Agencia de la parte reclamada, en fecha 02/10/2025 la AEPD comprueba en relación con las páginas webs anteriormente mencionadas que no se puede acceder a ninguna de ellas. QUINTO: Con fecha 2 de diciembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 5.1

  1. f)RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 10/12/2025 como consta en el acuse de recibo que obra en el expediente. SEPTIMO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamada publicó comunicados en la red social FACEBOOK en los que se exponen los datos personales de la parte reclamante, consistentes en el nombre y apellidos, sin mediar su consentimiento. Ello se acredita a través de la captura de pantalla, aportada por la parte reclamada en las actuaciones de investigación, de los comunicados publicados en el Facebook por F. A. C., en fechas 10, 11 y 29 de diciembre de 2024, en la que se observa que solo se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 recogen los datos identificativos de nombre y apellidos de la parte reclamante, no figurando en ninguno de ellos su DNI. SEGUNDO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que F. A. C. realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas como nombre y apellidos. F. A. C. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del RGPD. IV Artículo 5.1.
  2. f)del RGPD Establece el artículo 5.1.
  3. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
  4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…] Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5.1
  5. f)del RGPD, principios relativos al tratamiento. En el presente caso, las actuaciones de investigación han permitido constatar que la parte reclamada habría publicado los datos personales (nombre y apellidos) de la parte reclamante en la red social FACEBOOK entre los días 10/12/2024, 11/12/2024 y 29/12/2024 el nombre y apellidos de la parte reclamante. Tales publicaciones seguían figurando, al menos, a fecha de 2 de octubre de 2025 en la página de FACEBOOK de la Federación (…), sin que conste a fecha de este acuerdo de inicio su supresión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 La AEPD, quiere destacar que tales hechos suponen la vulneración del art. 5.1.
  6. f)del RGPD ya que se produce una pérdida de confidencialidad de los datos personales de la parte reclamante. El artículo 5.1
  7. f)del RGPD, determina el cauce a través del cual ha de lograrse el mantenimiento de la confidencialidad e integridad cuando explicita “mediante la aplicación de medidas técnicas y organizativas apropiadas”, que no son estrictamente de seguridad. Por lo tanto, de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
  8. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
  9. f)del RGPD y calificación a efectos de prescripción. El artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, esta Agencia, actuando como autoridad de control, dispone de la potestad de apercibimiento, de acuerdo con lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 previsto en el citado Reglamento, que dispone en el apartado 2.
  12. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  13. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Cabe señalar a este respecto que el apercibimiento se configura como uno de los poderes otorgados por el RGPD a las Autoridades de Control y que, si bien carece de naturaleza sancionadora, sí la tiene correctiva en el sentido de permitir considerar la ilicitud de una conducta y así poder conseguir su corrección y evitar una nueva comisión de esa posible conducta infractora en el futuro. Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo 5.1
  14. f)del RGPD anteriormente mencionado procede dirigir a la parte reclamada un apercibimiento. VII Medidas correctivas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte apercibida, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 Por lo tanto, de acuerdo con la legislación aplicable y valoradas las infracciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a FEDERACIÓN DE ASOCIACIONES CANINAS PARA EL FOMENTO DE LAS RAZAS PURAS, con NIF G84874692, por una infracción del [infracción del artículo 5.1
  15. f)RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a FEDERACIÓN DE ASOCIACIONES CANINAS PARA EL FOMENTO DE LAS RAZAS PURAS. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-230126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.