PS-00003-2021

1/37  Expediente Nº: PS/00003/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 03/03/2020, a través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se recibió en esta Agencia Española de Protección de Datos (AEPD) una reclamación de fecha 23/12/2018, formulada por A.A.A. (en lo sucesivo la reclamante) ante la autoridad de protección de datos de Países Bajos (Autoreit Persoonsgegevens -AP). El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo Reglamento General de Protección de Datos o RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal. La citada reclamación se formula contra la entidad “Michael Page International” por los motivos siguientes: . La reclamante, ciudadana holandesa, abrió una cuenta en la versión holandesa del portal web de Michael Page International, accesible en la URL “***URL.1”, y remitió por ese canal, en marzo 2018, un Curriculum Vitae (CV) para la consecución de un puesto de trabajo ofrecido por la rama holandesa del grupo PageGroup. Unos meses después, solicitó acceso a sus datos personales a través de la dirección de e-mail indicada en la Política de Privacidad del portal web, “***EMAIL.1”. En respuesta a la citada solicitud de acceso, en un primer momento, la entidad responsable exigió a la reclamante que aportara (…). Sin embargo, tras la protesta de la solicitante, que consideró excesiva la petición de documentación, Michael Page International rectificó (…). . La reclamante considera que no hay motivo para solicitarle esa información identificativa, (…), ni para remitir un CV con el fin de optar a un puesto de trabajo. Entiende la reclamante que el acceso autenticado en la cuenta, que aún está activa, debería ser suficiente para entender ejercitado el derecho de conformidad y acreditada la identidad del solicitante en un sistema como el usado por el responsable, basado en la utilización de una cuenta privada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/37 Con la reclamación se aportó copia de la correspondencia mantenida por la reclamante con el responsable del tratamiento a raíz de la solicitud de acceso, formulada con fecha 28/09/2018, la cual también se acompañó. Esta correspondencia consta reseñada en los Hechos Probados 4 a 9. La documentación de esta reclamación fue completada a través de una asistencia voluntaria en IMI, remitida por la entidad Autoreit Persoonsgegevens con fecha 12/05/2020, incorporando la consulta que la autoridad holandesa hizo al establecimiento que el grupo PageGroup tiene en Países Bajos (Michael Page International - Nederland Bv), en idioma holandés, sobre la toma de decisiones relacionadas con medios y fines de los tratamientos de datos personales que afectan a residentes de los Estados miembros. En la respuesta ofrecida por aquel establecimiento a la citada consulta, en idioma inglés, se indica que, a pesar de que la sede del grupo empresarial se encuentra en Reino Unido, el departamento encargado de la gestión de las solicitudes de acceso para Europa continental es el equipo de Cumplimiento Legal, situado en el Centro de Servicios Compartidos sito en Barcelona (España). La dirección postal de dicho departamento se indica en la Política de Privacidad de la versión en holandés de la página web del responsable, accesible en la URL “***URL.2”. De acuerdo con dicha contestación, el establecimiento español del grupo empresarial sería el establecimiento principal, en el sentido de la definición del artículo 4.16 del RGPD. Así, conforme a lo dispuesto en el artículo 56.1 del RGPD, con fecha 21/05/2020, la AEPD se declaró competente para actuar como autoridad de control principal (LSA). Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, se han declarado interesadas en el presente procedimiento, además de la autoridad de control que ha comunicado el caso (Países Bajos), las de Bélgica, Irlanda, Polonia, Italia, Hungría, Portugal, Chipre y Austria, así como las regionales alemanas de Renania del Norte-Westfalia, Renania-Palatinado, Mecklemburgo-Pomerania Occidental, Berlín y Baviera Sector Privado. SEGUNDO: Con arreglo al procedimiento previsto en la legislación nacional interna (artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales -LOPDGDD), con fecha 11/06/2020, la AEPD trasladó la citada reclamación al establecimiento español del grupo PageGroup con sede en ***LOCALIDAD.1, esto es, la empresa PAGE GROUP EUROPE, S.L. (en lo sucesivo PAGE GROUP EUROPE o entidad reclamada), para que en el plazo de un mes acreditara haber dado respuesta a la solicitud de la reclamante, informara sobre las causas que motivaron la incidencia producida y detallara las medidas adoptadas para evitar situaciones similares. En respuesta a dicho requerimiento, PAGE GROUP EUROPE comunicaciones mantenidas con la reclamante y manifestó lo siguiente: aportó las . Explican que son una compañía que forma parte de un grupo empresarial dedicado a servicios de Recursos Humanos, en concreto, a la selección de personal. Por este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/37 motivo, tratan datos personales de un elevado número de candidatos en muchos países del mundo, siendo muy habitual el ejercicio de derechos por parte de candidatos. Para la tramitación de las solicitudes correspondientes, en cumplimiento de su deber de confidencialidad y secreto, ha implementado un estricto proceso de verificación de identidad para garantizar que los datos personales de los candidatos no sean cedidos a terceros, que hayan podido hacerse con las credenciales de acceso de personas registradas en sus sistemas con el propósito de suplantar su identidad y realizar la solicitud en su nombre, a través de ataques de phishing o ingeniería social. En el caso particular de la reclamante no han pretendido poner obstáculos al ejercicio de sus derechos, sino proteger sus datos personales. (…). (…). Sobre esta cuestión, aporta copia de los “Modelos de contestación” utilizados actualmente para verificar la identidad de los interesados. (…). Posteriormente, mediante escrito de 14/08/2020, esta Agencia solicitó a PAGE GROUP EUROPE “copia de la contestación a la solicitud de acceso planteada por la reclamante, toda vez que ha quedado acreditada su identidad a través del proceso de reclamación, iniciado ante la autoridad de control de Países Bajos y continuada en esta Agencia”. Tras esta solicitud, la citada entidad procedió a dar contestación a la solicitud de acceso formulada por la reclamante y aportó a esta Agencia copia de la comunicación, de fecha 27/08/2020, mediante la que informa a la misma sobre los aspectos del tratamiento que establece el artículo 15 del RGPD, así como el anexo con los datos personales de la reclamante que obran en su poder. En el escrito de respuesta a esta Agencia se indica que la información fue remitida por correo electrónico. TERCERO: Tras revisar la contestación proporcionada por la empresa reclamada, reseñada en el Hecho anterior, esta Agencia apreció que, en la actualidad, los procedimientos seguidos por PAGE GROUP EUROPE para la atención de derechos en materia de protección de datos, en relación con la identificación de los solicitantes, se ajustan a la normativa aplicable. (…). Además, se tuvo en cuenta que, tras la intervención de esta Agencia, la solicitud de acceso de la reclamante quedó atendida. En consecuencia, se consideró que no existían indicios de infracción y que no resultaba necesaria ninguna otra actuación, ni instar la adopción de medidas adicionales, por lo que, con fecha 10/11/2020, se dictó Proyecto de Resolución de archivo de la reclamación (Draft decisión). CUARTO: Con fecha 10/11/2020, el Proyecto de Decisión se incorporó al Sistema IMI a fin de que las autoridades interesadas se manifestaran al respecto. Al término del plazo establecido, formularon objeciones al citado proyecto de archivo las autoridades de protección de datos de Portugal (CNPD) y Berlín (The Berlin Commissioner for Data Protection and Freedom of Information -Berlin DPA). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/37 La CNPD manifiesta que PAGE GROUP EUROPE tiene implementado un procedimiento de atención de derechos (…).,no habiendo especificado que en el caso de la reclamante tuviera dudas respeto de la identidad de la misma. Considera que la citada entidad no ha ajustado su actuación a lo establecido en el artículo 12.2 del RGPD, que obliga al responsable a facilitar el ejercicio de los derechos, salvo que no pueda identificar al solicitante, en cuyo caso el artículo 12.6 del RGPD permite pedir información identificativa adicional. Entiende, también, la CNPD que el procedimiento seguido por la entidad responsable no protege los datos de los solicitantes, ya que el tratamiento de los documentos identificativos requeridos aumenta los riesgos para los afectados (p.ej. posible uso para suplantación de identidad); (…). La autoridad portuguesa piensa que esto vulnera el principio de minimización (artículo 5.1.

1. c)del RGPD), el de privacidad por defecto y desde el diseño (artículo 25 del RGPD) y el de medidas de seguridad (artículo 32 del RGPD). La CNPD aboga por una forma menos intrusiva de comprobar la identidad del solicitante (p.ej. identificación electrónica o enviar la solicitud a través de la cuenta de usuario junto con un factor de autenticación adicional remitido por otro canal diferente). Berlin DPA, por su parte, aprecia también infracción del artículo 12 del RGPD, apartados 2, 3 y 6, por razones similares a las expuestas por la autoridad portuguesa. Considera que solo se debería solicitar información adicional si existieran dudas sobre la identidad del interesado, solicitando información necesaria y apropiada para esa verificación, en función de los datos disponibles del solicitante; y no comparte la justificación alegada sobre el posible riesgo de suplantación de direcciones de e-mail. Asimismo, (…), entiende Berlin DPA que no puede utilizarse para hacer verificaciones, o, al menos, no sería la forma más apropiada, y se declara conforme con la apreciación de la reclamante según la cual el acceso registrado a la cuenta privada sería más que suficiente. Berlín DPA apunta una posible infracción del artículo 12.3 del RGPD debido a que el responsable no contestó en el plazo de un mes contado desde la remisión de la solicitud. Se opone a que la reclamación sea rechazada y considera procedente identificar las infracciones y adoptar acciones correctoras contra el responsable, de modo que pueda corregir sus procedimientos para evitar poner en riesgo los derechos de otros solicitantes o las trabas en su ejercicio. QUINTO: Se toman en consideración las objeciones planteadas por las autoridades de protección de datos indicadas en el Antecedente anterior y, con fecha 11/12/2020, se acuerda admitir a trámite la reclamación comunicada por la autoridad de protección de datos de Países Bajos (Autoreit Persoonsgegevens -AP), por la presunta infracción de lo establecido en el artículo 15 del RGPD, sin perjuicio de lo que pueda determinarse en el curso de la tramitación de la citada reclamación. SEXTO: Con fecha 26/02/2021, por la Subdirección General de Inspección de Datos se accede a la web “www.michaelpage.es” y se obtiene información disponible sobre PageGroup. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/37 En la información corporativa que consta en el apartado “Quienes somos” de dicha web se indica: “PageGroup es la consultora líder a nivel internacional en selección de mandos cualificados, intermedios y directivos con carácter temporal e indefinido. Se estableció en el Reino Unido en 1976 y desde 2001 cotiza en la bolsa de Londres. Con una red de 140 oficinas propias, operamos en 36 países del mundo. En España ofrecemos cobertura a nivel nacional con oficinas físicas en Madrid, Barcelona, Valencia, Sevilla, Bilbao y Zaragoza a través de los cuales brindamos servicios de reclutamiento y oportunidades de carrera a nivel local, regional y global. Dentro del grupo tenemos distintas marcas, cada una experta en su mercado” . (…). (…). (…). SÉPTIMO: Con fecha 02/06/2021, de conformidad con lo establecido en el artículo 64 de la LOPDGDD, apartados 2 (párrafo tercero) y 3, se dictó proyecto de acuerdo de inicio de procedimiento sancionador, motivado por la reclamación recibida a través del Sistema IMI que consta reseñada en el Antecedente Primero. Este proyecto toma en consideración las objeciones reseñadas en el Antecedente Cuarto (proyecto de decisión revisada). Siguiendo el procedimiento establecido en el artículo 60 del RGPD, con fecha 13/03/2020, el citado proyecto de apertura de procedimiento sancionador fue transmitido a través del Sistema IMI a las autoridades de control interesadas, haciéndoles saber que, en caso de que no se formulasen objeciones en el plazo de dos semanas desde la consulta, se adoptaría el preceptivo acuerdo de apertura de procedimiento sancionador. Ninguna de las autoridades de control interesadas ha formulado objeción alguna al proyecto de acuerdo de apertura de procedimiento sancionador adoptado por la AEPD, entendiéndose, por tanto, que existe acuerdo sobre el mismo. OCTAVO: Con fecha 29/06/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad PAGE GROUP EUROPE, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 5.1.
2. c)y 12 del RGPD, tipificadas en los artículos 83.5.
3. a)y
4. b)del mismo Reglamento, respectivamente; determinando que la sanción que pudiera corresponder ascendería a un total de 300.000 euros (250.000 euros por la infracción del artículo 5.1.
5. c)y 50.000 euros por la infracción del artículo 12, ambos del RGPD), sin perjuicio de lo que resulte de la instrucción. En el mismo acuerdo de apertura del procedimiento se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2
6. d)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/37 NOVENO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para formular alegaciones, PAGE GROUP EUROPE presentó escrito de fecha 21/07/2021, en el que solicita que se mantenga el criterio inicial de la AEPD y se acuerde el archivo del procedimiento sancionador o, subsidiariamente, que se reconsidere la multa propuesta valorando el apercibimiento que prevé la normativa. En síntesis, la citada entidad basa su petición en las consideraciones siguientes: 1. Con carácter previo, destaca la buena fe y voluntad de cumplimiento que ha regido su actuación y las políticas internas aplicadas, y manifiesta su intención de aportar con sus alegaciones mayor información y claridad sobre el caso, a pesar de que conlleva una renuncia a la aplicación de la reducción de la sanción propuesta, en el convencimiento de que han seguido las recomendaciones de las autoridades y que su motivación no fue otra que un exceso de celo en la protección de los datos personales para no entregar datos a persona distinta del titular real de los datos. Añade que la cuestión suscitada tiene que ver con una interpretación de la norma, aún de reciente aplicación. 2. Entiende contradictorio que se exprese en los Fundamentos de Derecho del acuerdo de apertura que el resultado del trámite de traslado “no fue satisfactorio”, cuando en los Antecedentes Segundo y Tercero se indica que la reclamada dio contestación a la solicitud de acceso formulada por la reclamante, (…), concluyendo que no existían indicios de infracción ni resultaba necesaria la adopción de medidas adicionales. En base a ello, solicita que se revisen nuevamente los documentos obrantes en el expediente, aclarando al respecto, para el caso de que aquella afirmación esté motivada por la ausencia de contestación al primer requerimiento de la autoridad de Países Bajos, que en junio de 2019 se dispuso el acceso a la dirección ***EMAIL.2 a personas del equipo de Cumplimiento Legal de manera temporal, (…), si bien, por algún motivo técnico la conexión no fue efectiva hasta finales de agosto, sin que fuera posible recuperar los emails recibidos en el ínterin. Tan pronto como tuvo constancia de que la autoridad de protección de datos de Países Bajos (Autoreit Persoonsgegevens -AP) había enviado 2 emails el 23/07/2019, procedió a contactar con la misma, aunque no consta haber recibido respuesta. Posteriormente, en fecha 30/08/2019 la entidad Autoreit Persoonsgegevens envió una carta directamente a Michael Page International - Nederland Bv, a lo que dio contestación con fecha 27/09/2019. 3. En relación con la presunta infracción del artículo 5.1.c), pone en valor la revisión de sus políticas internas que llevó a cabo en 2016-2018 para adaptarlas a la nueva normativa, sobre la que no se disponían de criterios orientadores a la hora de interpretar conceptos novedosos como el principio de minimización de datos o la privacidad desde el diseño o por defecto, por lo que intentó conjugar medidas y recomendaciones que permanecían vigentes con una interpretación de la nueva normativa orientada a un estricto cumplimiento de la misma. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/37 (…). (…). Por otra parte, sobre la interpretación que Berlin DPA realiza sobre la forma apropiada de verificar la identidad de los interesados que ejercitan un derecho, la entidad reclamada entiende que tales apreciaciones derivan de la idiosincrasia local y pueden estar motivadas por cuestiones históricas, heredadas de normativas locales anteriores, aspectos culturales o de cumplimiento, que se irán definiendo y homogeneizando en los próximos años. (…). (…). Por otra parte, la entidad reclamada dice haber estudiado que la autoridad de Países Bajos ha sido activa en lo que respecta al tratamiento ilegal del BSN (número de identificación personal) y ha tomado varias medidas de aplicación antes de la entrada en vigor del RGPD, entre ellas: . Airbnb trató ilegalmente el BSN (a través de copias completas de los documentos de identidad) y la DPA publicó sus conclusiones al respecto. No se impuso ninguna multa ni se publicó ningún informe de investigación después de que Airbnb cambiara sus operaciones. . Una empresa de transporte de mercancías llamada Nippon Express procesó copias completas de los documentos de identidad y los BSN de los camioneros que entraban en los locales para recoger la carga. Esto era ilegal según la DPA de Países Bajos y publicó un informe de investigación sin sancionar a la empresa tras modificar sus procedimientos. Como se puede entender, y más adelante se desarrollará, la entidad reclamada no obtiene ningún beneficio de dilatar o, supuestamente, obstaculizar el ejercicio de un derecho que implica la entrega de una información al interesado. No se trata de una baja en un servicio o de una oposición a un determinado tratamiento que la entidad tuviese interés en mantener. (…). En base a esto, solicita que se reconsideren las alegaciones de Berlín DPA y la CNPD que hicieron cambiar el criterio de la AEPD, que decidió archivar el expediente al no apreciar intencionalidad en la acción llevada a cabo por PAGE GROUP EUROPE, por la ausencia de beneficio y la mejora implementada. (…). Considerando esta ausencia de tratamiento ulterior y que el tratamiento llevado a cabo era muy limitado en el tiempo, al igual que el acceso a la información en cuestión, la entidad reclamada estima que se cumple lo indicado en el Considerando 156 del RGPD: “Las condiciones y garantías en cuestión pueden conllevar procedimientos específicos para que los interesados ejerzan dichos derechos si resulta adecuado a la luz de los fines perseguidos por el tratamiento específico, junto con las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/37 técnicas y organizativas destinadas a minimizar el tratamiento de datos personales atendiendo a los principios de proporcionalidad y necesidad”; se entendió, tras estudiarlo, que esta medida era necesaria, proporcional e idónea para proteger los derechos de la interesada. 5. Con el requisito comentado, la reclamada no intentó dilatar, entorpecer u obstaculizar el ejercicio de derechos por parte del afectado, ni obtenía beneficio de aquella práctica, que requería diseñar un procedimiento específico e invertir recursos en la gestión y seguimiento. Si finalmente, se determina que tal procedimiento no estaba diseñado de forma correcta, lo único que se puede achacar es un exceso de celo en su voluntad de cumplimiento, para asegurar que no se entregaban datos a persona distinta a su titular, pero no de que con esta solicitud se quisieran poner trabas al ejercicio. (…). 6. Respecto de la presunta infracción del artículo 12 del RGPD, la reclamada formula alegaciones con las que pretende dar respuesta a los argumentos puestos de manifiesto por las autoridades de protección de datos de Berlín y Portugal, sin bien comienza insistiendo en que la entidad trata con alerta las solicitudes de acceso porque no son frecuentes en su actividad, dado que son los propios interesados los que facilitan directamente sus datos personales y tienen la información a su disposición en su área personal. Respecto de lo indicado por Berlin DPA, que no comparte el posible riesgo de suplantación de direcciones de e-mail, la reclamada pone de manifiesto que existen estudios y estadísticas que demuestran la hipótesis de que la solicitud del derecho de acceso del RGPD puede ser un punto de vulnerabilidad a los ataques de ingeniería social. Y añade: “Por citar alguno de los referidos estudios, James Pavur (DPhil Researcher Oxford University) y Casey Knerr (Security Consultant Dionach LTD) indican en su publicación “GDPArrrrr: Using Privacy Laws to Steal Identities” (la traducción es nuestra a efectos de homogeneidad en el idioma del documento): “En este trabajo, hemos planteado la hipótesis de que el derecho de solicitud de acceso puede ser un punto de vulnerabilidad a los ataques de ingeniería social. A través de un experimento que abarcó 150 organizaciones, demostramos la viabilidad en el mundo real de tales ataques. Descubrimos que una gran proporción de organizaciones no verifican adecuadamente la identidad de origen de las solicitudes de acceso y que, como resultado, la información profundamente sensible puede ser adquirida de manera repetible y escalable por la ingeniería social. Sugerimos una serie de medidas correctoras centradas en los individuos, las empresas y los legisladores, para ayudar a mitigar estos ataques. (…) Solicitar una identificación con foto emitida por el gobierno es probablemente la forma más sólida de prevenir este ataque. Sin embargo, las organizaciones que no sean capaces de proteger adecuadamente estos datos, o de verificar su autenticidad, deberían considerar la posibilidad de subcontratar estos servicios a un tercero. Las empresas también deberían evaluar periódicamente su proceso de solicitud de acceso del sujeto en busca de vulnerabilidades y formar a los representantes individuales del servicio en la detección y respuesta a tales ataques. La incorporación de solicitudes de acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/37 malintencionadas…”. El propio considerando 64 del RGPD establece que “el responsable del tratamiento debe utilizar todas las medidas razonables para verificar la identidad de los interesados que soliciten acceso”. Asimismo, el artículo 12.6 del RGPD establece que “cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a la que se refieren los artículos 15 a 21, podrá solicitar que se facilite información adicional necesaria para confirmar la identidad del interesado”. En España, la necesidad de aportar el DNI o documento equivalente por parte del interesado estaba prevista en el artículo 25 del derogado, en su casi totalidad, Real Decreto 1720/2007. Dicho artículo indicaba que la comunicación de ejercicio de los derechos dirigida al responsable debería ir acompañada de una fotocopia del documento nacional de identidad del interesado, o de su pasaporte u otro documento válido que lo identifique. La propia Agencia Española de Protección de Datos (AEPD), en su “Guía para el Ciudadano” indica que, “si el responsable tiene dudas sobre la identidad del interesado, podrá solicitar información adicional para confirmar la misma, como la fotocopia del DNI, pasaporte u otro documento válido”. Asimismo, los formularios que la AEPD diseñó como modelos para el ejercicio de derechos y que presenta como modelos para ser utilizados por los ciudadanos, incluyen la siguiente instrucción: “2. Será necesario aportar fotocopia del D.N.I. o documento equivalente que acredite la identidad y sea considerado válido en derecho, en aquellos supuestos en que el responsable tenga dudas sobre su identidad. En caso de que se actúe a través de representación legal deberá aportarse, además, DNI y documento acreditativo de la representación del representante”. Por tanto, se trata de una práctica habitual, al menos en España, residencia de nuestra empresa, que no vulnera el principio de minimización de datos, el cual exige que los datos personales sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. (…). (…). (…). 7. Destaca una vez más la buena fe y grado de colaboración mostrados, habiendo modificado el procedimiento interno de gestión de derechos como sigue: (…). (…). 8. Alude al archivo de las actuaciones adoptado inicialmente por la AEPD y a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/37 objeciones de las autoridades portuguesa (CNPD) y alemana (Berlin DPA), para poner de manifiesto la incertidumbre que provoca la falta de unidad de criterio para verificar la identidad en línea durante la gestión de un derecho de acceso. El RGPD no establece, como hacía la anterior normativa, el listado de medidas de seguridad que los responsables deben adoptar; ahora cada responsable debe realizar su propio análisis de riesgos y determinar qué medidas debe adoptar para mitigarlos, y así lo reconoció la AEPD, (…). Se trata esta de una interpretación realizada en base al análisis de riesgos y desde la buena fe y el convencimiento de una buena actuación, aplicando los principios de minimización, privacidad desde el diseño y por defecto, sobre un asunto específico (solicitud de identificación en el derecho de acceso) sobre el que no hay criterio ni guía publicados. 9. Sobre los criterios de graduación de la sanción, manifiesta lo siguiente: . La negligencia en la comisión de la infracción debe apreciarse cuando la conducta se aleje de los estándares reconocidos y, (…). Además, considera que debe tenerse en cuenta la actitud proactiva y de mejora demostrada. (…). . La valoración del número de interesados debe considerar las solicitudes de ejercicios de derechos recibidas desde que el RGPD es de plena aplicación, ya detalladas. . Es la primera vez que la entidad reclamada es objeto de un procedimiento sancionador, cumpliendo hasta ahora las obligaciones dispuestas en la normativa aplicable, así como los criterios establecidos por las autoridades supervisoras. A este respecto, solicita que se valore la imposición de un apercibimiento en especial atención a la naturaleza, escasa gravedad y corta duración de la infracción, a su carácter no intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos y al grado de responsabilidad demostrado por la entidad. PAGE GROUP EUROPE, con su escrito de alegaciones a la apertura del procedimiento, aportó los siguientes Documentos: . Copia del documento denominado “Proceso de solicitud de datos del RGPD de la UE”. Las previsiones que contiene sobre la validación de las solicitudes de derechos y la verificación de la identidad de los solicitantes constan reseñadas en el Hecho probado 12. . Registro correos recibidos durante ínterin del fallo técnico en email del DPD. . Correo de 26/08/2019, enviado a la autoridad de Países Bajos solicitando el envío de la comunicación extraviada. . Correo con la documentación remitida en septiembre de 2019 a la autoridad de protección de datos de Países Bajos. DÉCIMO: Con fecha 24/11/2021, se emitió propuesta de resolución en el sentido siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/37 1. Que por la Directora de la AEPD se sancione a PAGE GROUP EUROPE, por una infracción del artículo 12 del RGPD, tipificada en el Artículo 83.5.
7. b)del RGPD y calificada como leve a efectos de prescripción en el artículo 74.
8. c)de la LOPDGDD, con una multa por importe de 50.000 euros (cincuenta mil euros). 2. Que por la Directora de la AEPD se sancione a PAGE GROUP EUROPE, por una infracción del artículo 5.1.
9. c)del RGPD, tipificada en el artículo 83.5.
10. a)y calificada como muy grave a efectos de prescripción en el artículo 72.1.
11. a)de la LOPDGDD, con una multa por importe de 250.000 euros (doscientos cincuenta mil euros). La citada propuesta de resolución fue notificada a la entidad PAGE GROUP EUROPE en la misma fecha del 24/11/2021. En esta notificación se informaba a dicha entidad que, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, puede, en cualquier momento anterior a la resolución del procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 240.000 euros (doscientos cuarenta mil euros) y su pago implicaría la terminación del procedimiento. Asimismo, se advertía que la efectividad de esta reducción está condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. DECIMOPRIMERO: En fecha 02/12/2021, la parte reclamada ha procedido al pago de la sanción en la cuantía de 240.000 euros, haciendo uso de la reducción prevista en el artículo 85 de la LPACAP, lo que implica la terminación del procedimiento y conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. DECIMOSEGUNDO: Con fecha 03/12/2021, tuvo entrada en esta Agencia un escrito de la entidad PAGE GROUP EUROPE, de 02/12/2021, mediante el que aporta copia del justificante del pago realizado, con el que pretende “dar por cerrado” el procedimiento. En este mismo escrito, la citada entidad advierte sobre la confidencialidad de los procesos internos corporativos. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1. La entidad Michael Page International es una empresa con sede en Reino Unido, matriz del grupo empresarial PageGroup. Está dedicada a la selección de personal y opera bajo diversas marcas, entre ellas, “Michael Page”. Dispone de filiales en numerosos países europeos, siendo la filial de Países Bajos la entidad Michael Page International - Nederland B.V. Una de las filiales españolas del Grupo, con sede en ***LOCALIDAD.1, PAGE GROUP EUROPE, S.L., se encarga, a través de su departamento de Cumplimiento Legal, de gestionar las solicitudes de ejercicio de derechos en materia de protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/37 de datos personales que los interesados formulen ante las entidades del grupo PageGroup en Europa. La dirección postal de esta filial española se indica como dato de contacto para el ejercicio de estos derechos en la Política de Privacidad de la entidad, tanto en España como en la versión de Países Bajos. 2. Los sitios web de PageGroup incluyen un formulario habilitado para que los interesados puedan enviar su CV a la entidad filial correspondiente. 3. La reclamante, ciudadana holandesa, abrió una cuenta en el portal web de Michael Page International - Nederland B.V., accesible en la URL “***URL.1”, y remitió por ese canal, en marzo 2018, un Curriculum Vitae (CV) para la consecución de un puesto de trabajo ofrecido por esta filial holandesa del grupo PageGroup. 4. Mediante correo electrónico de fecha 28/09/2018, remitido desde la dirección “***EMAIL.3”, la misma que consta registrada en la base de datos de PageGroup, la reclamante solicitó el acceso a sus datos personales, detallando expresamente en su solicitud que se le remita copia de sus datos y su interés en conocer los fines para los que son tratados los datos, las categorías de datos personales sometidos a tratamiento, los destinatarios, así como la base jurídica de cada operación de tratamiento. Dicho correo electrónico se remitió a la dirección “***EMAIL.1”, que coincide con la indicada a tales efectos en la Política de Privacidad accesible a través del portal web. En este correo, la reclamante advierte que recibe correos periódicos de la entidad y que ello prueba que la misma dispone de sus datos personales. 5. Mediante correo electrónico de fecha 02/10/2018, remitido desde la dirección “***EMAIL.1”, PageGroup respondió al correo de la reclamante de 28/09/2018 señalando que para atender la solicitud de acceso formulada resultaba necesario confirmar su identidad y probar su domicilio. (…). Se indica, asimismo, que dicha documentación puede enviarse a la dirección “***EMAIL.1” o al departamento de Cumplimiento Legal, por correo postal dirigido a la dirección de PAGE GROUP EUROPE en ***LOCALIDAD.1. (…). (…). 7. Con fecha 22/10/2018, el Departamento de Cumplimiento Legal de PageGRoup remitió un correo electrónico a la reclamante, desde la dirección “***EMAIL.1”, en el que reiteran la necesidad de verificar su identidad e insisten en la petición de documentación anterior. 8. Con fecha 11/11/2018, mediante correo electrónico remitido a la dirección “***EMAIL.1”, la reclamante, después de resumir los hechos y destacar su interés en conocer las comunicaciones de datos personales realizadas a terceros y los datos concretos compartidos, reiteró sus manifestaciones anteriores sobre la documentación exigida para atender esa solicitud, que considera excesiva, y advirtió sobre la posibilidad de formular reclamación ante la autoridad de protección de datos de Países Bajos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/37 9. Con fecha 12/11/2018, el Departamento de Cumplimiento Legal de PageGRoup remitió un correo electrónico a la reclamante, desde la dirección “***EMAIL.1”, informando que han revisado su (…). 10.Mediante escrito de 14/08/2020, esta Agencia solicitó a PAGE GROUP EUROPE “copia de la contestación a la solicitud de acceso planteada por la reclamante, toda vez que ha quedado acreditada su identidad a través del proceso de reclamación, iniciado ante la autoridad de control de Países Bajos y continuada en esta Agencia”. Tras esta solicitud, la citada entidad procedió a dar contestación a la solicitud de acceso formulada por la reclamante y aportó a esta Agencia copia de la comunicación, de fecha 27/08/2020, que da respuesta a la solicitud de acceso formulada por la reclamante, así como el anexo con los datos personales de la misma que obran en poder de PageGroup. En el escrito de respuesta a esta Agencia se indica que la información fue remitida por correo electrónico. (…). (…). 12. La entidad PAGE GROUP EUROPE, con su escrito de alegaciones a la apertura del procedimiento, ha aportado copia del documento denominado “Proceso de solicitud de datos del RGPD de la UE”. (…). (…). (…). (…). En cuanto a la entrega de del documento mediante el que se atiende el derecho de acceso y se facilita la información correspondiente al interesado, el procedimiento diseñado por la entidad reclamada contempla su envío mediante correo electrónico, protegido con una contraseña que se remite en correo distinto. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/37 desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento”; Y en el 2.i), el de “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso”. El caso examinado está motivado por una reclamación de carácter transfronterizo formulada ante la autoridad de protección de datos de Países Bajos (Autoreit Persoonsgegevens -AP), contra un grupo empresarial que tiene sede en Reino Unido. Sin embargo, el departamento encargado de la gestión de las solicitudes de acceso para Europa continental es el equipo de Cumplimiento Legal de la filial del Grupo PAGE GROUP EUROPE, con sede en España. Este establecimiento español de PageGroup es el establecimiento principal del Grupo, en el sentido de la definición del artículo 4.16 del RGPD. Así, conforme a lo dispuesto en el artículo 56.1 del RGPD, la AEPD es la competente para actuar como autoridad de control principal. Se tienen en cuenta las siguientes “definiciones” establecidas en el artículo 4 del RGPD: “16) establecimiento principal:
12. a)en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en cuyo caso el establecimiento que haya adoptado tales decisiones se considerará establecimiento principal”. “21) autoridad de control: la autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51”. “22) autoridad de control interesada: la autoridad de control a la que afecta el tratamiento de datos personales debido a que: a.- El responsable o encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control; b.- Los interesados que residen en el Estado miembro de esa autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento, o c.- Se ha presentado una reclamación ante esa autoridad de control”. “23) tratamiento transfronterizo:
13. a)el tratamiento de datos personales realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o un encargado del tratamiento en la Unión, si el responsable o el encargado está establecido en más de un Estado miembro, o
14. b)el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/37 Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, en el presente procedimiento actúan en calidad de “autoridades de control interesadas” las autoridades de protección de datos personales de Países Bajos, Bélgica, Irlanda, Polonia, Italia, Hungría, Portugal, Chipre y Austria, así como las regionales alemanas de Renania del Norte-Westfalia, RenaniaPalatinado, Mecklemburgo-Pomerania Occidental, Berlín y Baviera Sector Privado. II El artículo 56.1 del RGPD, relativo a la “Competencia de la autoridad de control principal”, establece lo siguiente: “1. Sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60”. Dicho artículo 60 regula la “Cooperación entre la autoridad de control principal y las demás autoridades de control interesadas”: “1. La autoridad de control principal cooperará con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso. La autoridad de control principal y las autoridades de control interesadas se intercambiarán toda información pertinente. 2. La autoridad de control principal podrá solicitar en cualquier momento a otras autoridades de control interesadas que presten asistencia mutua con arreglo al artículo 61, y podrá llevar a cabo operaciones conjuntas con arreglo al artículo 62, en particular para realizar investigaciones o supervisar la aplicación de una medida relativa a un responsable o un encargado del tratamiento establecido en otro Estado miembro. 3. La autoridad de control principal comunicará sin dilación a las demás autoridades de control interesadas la información pertinente a este respecto. Transmitirá sin dilación un proyecto de decisión a las demás autoridades de control interesadas para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista. 4. En caso de que cualquiera de las autoridades de control interesadas formule una objeción pertinente y motivada acerca del proyecto de decisión en un plazo de cuatro semanas a partir de la consulta con arreglo al apartado 3 del presente artículo, la autoridad de control principal someterá el asunto, en caso de que no siga lo indicado en la objeción pertinente y motivada o estime que dicha objeción no es pertinente o no está motivada, al mecanismo de coherencia contemplado en el artículo 63. 5. En caso de que la autoridad de control principal prevea seguir lo indicado en la objeción pertinente y motivada recibida, presentará a dictamen de las demás autoridades de control interesadas un proyecto de decisión revisado. Dicho proyecto de decisión revisado se someterá al procedimiento indicado en el apartado 4 en un plazo de dos semanas. 6. En caso de que ninguna otra autoridad de control interesada haya presentado objeciones al proyecto de decisión transmitido por la autoridad de control principal en el plazo indicado en los apartados 4 y 5, se considerará que la autoridad de control principal y las autoridades de control interesadas están de acuerdo con dicho proyecto de decisión y estarán vinculadas por este. 7. La autoridad de control principal adoptará y notificará la decisión al establecimiento principal o al establecimiento único del responsable o el encargado del tratamiento, según proceda, e informará de la decisión a las autoridades de control interesadas y al Comité, incluyendo un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/37 resumen de los hechos pertinentes y la motivación. La autoridad de control ante la que se haya presentado una reclamación informará de la decisión al reclamante. (…) 12. La autoridad de control principal y las demás autoridades de control interesadas se facilitarán recíprocamente la información requerida en el marco del presente artículo por medios electrónicos, utilizando un formulario normalizado”. Sobre las cuestiones reguladas en estos preceptos, se tiene en cuenta lo señalado en los Considerandos 124, 125, 126 y 130 del RGPD, en particular lo siguiente: