1/9 Expediente N.º: EXP202312720 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de agosto de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante indica que contrató los servicios del abogado reclamado y que este, nunca le informó sobre el tratamiento de sus datos personales ni sobre política alguna de protección de datos de carácter personal y nunca llegó a recabar por ningún medio mi consentimiento para tratar sus datos personales. Fruto de dicha relación, el reclamante afirma que solo dispone de la factura emitida por el abogado, en la que no figura cláusula informativa o texto sobre protección de datos de carácter personal. Aporta:
- a)escrito de reclamación ante la AEPD, con fecha de 23 de agosto de 2023;
- b)factura emitida por el abogado reclamado con fecha de 5 de junio de 2023. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22/09/2023 como consta en el acuse de recibo que obra en el expediente. El 23/09/2023 tuvo entrada en la Agencia escrito de contestación de la parte reclamada en el que, en síntesis, declaraba que: No realiza ningún fichero informatizado con los datos personales de sus clientes, ni perfiles. Toda la información la guarda en un disco duro dentro de una carpeta con nombre y apellido de los clientes. Dicho disco duro está protegido con contraseña, siendo él la única persona con acceso a dicho disco duro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 - No se considera tratamiento a gran escala el tratamiento por un abogado que ejerce individualmente, por lo que los abogados que ejercen de forma individual no tendrán que nombrar delegado de Protección de Datos. - No se considera tratamiento a gran escala el tratamiento por un abogado que ejerce individualmente, por lo que los abogados que ejercen de forma individual no tendrán que realizar evaluación de impacto de Protección de Datos. - Hace referencia al secreto profesional en el ejercicio de la abogacía. Con anterioridad a esta reclamación, la parte reclamante había presentado ante esta Agencia, en fecha 02/08/2023, escrito en el que denunciaba el incumplimiento en cuanto al deber de información en la web www.abogadoslowcostag.com. Según señala la parte reclamante, existe un formulario de contacto en la web que permitiría recabar datos, pero carece de política de privacidad o aviso legal, por lo que no se especifican los fines del tratamiento ni se identifica al responsable del tratamiento o su domicilio. En las alegaciones de la parte reclamada, de fecha 29/9/23, manifiesta que a raíz de la recepción del escrito de traslado han perfeccionado la pestaña de suscripción a la página web y también incluyen más información aun sobre la Ley de protección de datos. El 29/09/2023 se cerraron estas actuaciones con el envío a la parte reclamada de un recordatorio de obligaciones junto con el Anexo “Decálogo para la adaptación al RGPD de las políticas de privacidad en internet” y en esa misma fecha, se le envió a la parte reclamante, escrito para comunicarle que se ha informado a la parte reclamada de los requisitos legales exigidos para dar cumplimiento al deber de informar a los usuarios. Paralelamente, y como se indicó anteriormente, el 23 de agosto la parte reclamante presentó la reclamación que da lugar a este acuerdo de inicio de procedimiento de apercibimiento. TERCERO: Con fecha 21 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 20 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la LPACAP, fue recogida en fecha 20/03/2024 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 21 de marzo de 2024 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 - La parte reclamada considera no haber infringido la Ley de Protección de Datos, si bien no se le había detallado por escrito la normativa de la Ley de Protección de Datos a la parte reclamada. Afirma cumplir con el código Deontológico de la Abogacía por lo que, en virtud del secreto profesional, no se ha filtrado ninguna información de la parte reclamante. - A fin de cumplir con la normativa vigente, y siguiendo las recomendaciones de el “Decálogo para la adaptación al RGPD de las políticas de privacidad en internet” manifiesta que han mejorado sus comunicaciones en el blog y el pie de los correos electrónicos. - Por otra parte, informa que ha procedido a eliminar todos los archivos y datos que tenía respecto de la parte reclamante. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante realizó la contratación de los servicios de la parte reclamada para que ejerciera la representación en el procedimiento de ejecución hipotecaria que tenía pendiente. SEGUNDO: A lo largo de la relación contractual, la parte reclamante no ha sido informada sobre el tratamiento de sus datos personales ni sobre política alguna de protección de datos de carácter personal. TERCERO: Como una única documentación, la parte reclamante dispone de la factura emitida por la parte reclamada que representa el final del procedimiento de ejecución hipotecaria y por tanto de la relación contractual. En la factura no se hace constar ninguna cláusula informativa sobre protección de datos de carácter personal. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las Alegaciones La parte reclamada considera no haber infringido ni cometido ninguna infracción en base a la Ley de Protección de Datos ya que no ha existido ninguna filtración de información de la parte reclamante. La relación contractual que ha mantenido con la parte reclamada ha sido una oposición a una ejecución hipotecaria la cual se ha archivado de forma satisfactoria por un acuerdo transaccional y manifiesta haber procedido a eliminar todos los archivos y datos que tenía respecto a la parte reclamante. Lo cierto es que la parte reclamada, a lo largo de toda la relación contractual, no ha procedido a informar sobre el tratamiento de datos de carácter personal, ni hecho constar ninguna cláusula informativa sobre el tratamiento de estos datos en la factura emitida a la parte reclamante, al igual que no aparecía ninguna referencia en su página web sobre política de privacidad. Por todo ello, esta Agencia considera desestimadas las alegaciones presentadas por la parte reclamada. A fin de cumplir con la normativa vigente, y siguiendo las recomendaciones de la Guía para el cumplimiento del deber de informar que la Agencia Española de Protección de Datos pone a disposición de los responsables la parte reclamada manifiesta que han mejorado sus comunicaciones en el blog y el pie de los correos electrónicos A este respecto, esta Agencia valora positivamente la adopción de nuevas medidas que redunden en una mayor seguridad en lo que al tratamiento de datos personales se refiere y que puedan prevenir, en un futuro, incidentes como el que se sustancia en el presente procedimiento. III Cuestiones previas En el presente caso, consta la realización de un tratamiento de datos personales por parte de la parte reclamada en su actividad de negocio, según lo establecido en el artículo 4.2 del RGPD: «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. IV Obligación incumplida El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. En este caso concreto, la parte reclamada no procedió a informar a la parte reclamante sobre ninguno de los aspectos enumerados en el artículo anterior sobre el tratamiento de sus datos personales. La parte reclamante solo dispone de la factura emitida por el abogado reclamado, en la que no figura ninguna cláusula informativa o texto legal sobre protección de datos de carácter personal. . V Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de la resolución del procedimiento de apercibimiento se considera que la parte reclamada ha tratado datos personales de la parte reclamante sin atenerse a las estipulaciones del artículo 13 del RGPD, transcrito en el Fundamento anterior. El artículo 83.5
- b)dispone que “las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)(…)
- b)los derechos de los interesados a tenor de los artículos 12 a 22;” (…)”. A los efectos del plazo de prescripción de las infracciones, el artículo 72.1
- h)de la LOPDGDD califica de muy grave “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. El plazo de prescripción de las infracciones muy graves previsto en la LOPDGDD es de tres años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 VI Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, atendidas las circunstancias que concurren en el presente procedimiento, se estima que por la infracción del artículo infringido procede dirigir un apercibimiento. VII Adopción de medidas De acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, se requiere al responsable para que, en el plazo de un mes, acredite ante esta Agencia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 - que ha incluido la cláusula informativa o texto legal sobre el tratamiento de los datos en todos los formularios en los que recoge datos personales, así como en las facturas que emita en el ejercicio de su actividad. - que ha procedido a la publicación en su página web de la correspondiente política de privacidad y que dicha política de privacidad cumple con los requisitos legalmente establecidos. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a B.B.B., con NIF ***NIF.1, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva acredite ante esta Agencia: - que ha incluido la cláusula informativa o texto legal sobre el tratamiento de los datos en todos los formularios en los que recoge datos personales, así como en las facturas que emita en el ejercicio de su actividad. - que ha procedido a la publicación en su página web de la correspondiente política de privacidad y que dicha política de privacidad cumple con los requisitos legalmente establecidos. TERCERO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es