← España

PS-00012-2022

1/19  Expediente N.º: EXP202102805 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación en fecha 08/08/2021 ante la Agencia Española de Protección de Datos (AEPD). La reclamación se dirige contra JEG'S LIFE STYLE, S.L., con NIF B61273678 (en adelante, la parte reclamada o JEG´S LIFE). La reclamación formulada se basa en los siguientes hechos: <<El Sr. B.B.B., administrador de la empresa JEG'S LIFE STYLE SL, en la que yo estuve trabajando en 2019 y 2020, ha divulgado información privada mía por e-mail a terceras personas. El otro administrador, D.D.D., estaba al corriente de los hechos y permitió que se siguiera divulgando información mía. Fui despedido en Mayo de 2020 y en el pasado mes de Julio de 2021 este señor seguía enviando información.>> Anexos a la reclamación se aportan los documentos siguientes: -La copia de un correo electrónico enviado el 26/07/2021 por B.B.B. (administrador solidario 1 de la parte reclamada), desde su cuenta ***EMAIL.1, dirigido a la parte reclamante y a 16 destinatarios más: “(…)”. Entre los destinatarios de ese correo figura D.D.D. (administrador solidario 2 de la mercantil reclamada). Como “Asunto” y como “Datos adjuntos” al mencionado correo figura, respectivamente: “CARTA DESP DISCIPLINARIO A.A.A. 2.doc”. El documento adjunto es una carta en cuya primera página aparecen los datos completos del remitente, JEG´S LIFE, y los del destinatario y actual reclamante: su nombre, dos apellidos y su dirección postal. La carta no está firmada y tiene fecha de “Mayo de 2020”. En ella, la mercantil reclamada comunica al reclamante que ha decidido proceder a su despido disciplinario por “las irregularidades en su gestión que suponen una gravísima transgresión de la buena fe contractual”, irregularidades que detalla en el escrito. -La copia de un correo electrónico que envió el 18/07/2021 el administrador solidario 1, desde su cuenta ***EMAIL.1, en el que consta como “Asunto”: “Mintieron en los últimos juicios ambos”. El destinatario del correo es la cuenta ***EMAIL.2, con copia al reclamante y a dos personas más (…). Si bien en este correo no hay referencia al envío de datos adjuntos, el reclamante ha remitido junto con ese mensaje electrónico un documento que, supuestamente, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 habría enviado anexo a él, en el que se incluye esta información: “7:31. Enviado: Currículum de A.A.A.. Inmediatamente debajo, un C.V. del reclamante con sus datos personales: nombre y dos apellidos, NIF, teléfono móvil, email, página en Lindekin, los puestos de trabajo desempeñados entre 2001 y 2017, la “Formación académica” y la “Formación no reglada”. En el texto del mensaje electrónico se hacen diversas consideraciones sobre el reclamante: sus conocimientos de informática, su trabajo en el Ayuntamiento de Girona, el nombre de la persona con quien vive y que ha mentido desde el 25 de septiembre en todos los juicios. -Un hilo de correos electrónicos que finaliza con el remitido el 30/05/2020 por el administrador solidario 1 desde su cuenta ***EMAIL.1. al reclamante y a una tercera persona – C.C.C.- con copia a otras tres más: (…). Como “Datos adjuntos” al mensaje electrónico figura: “image001.png; ATT00001.htm; certificat empresa A.A.A..pdf; ATT00002.htm”. Como “Asunto” el correo dice “BAIXA SEGURETAT SOCIAL SR. A.A.A.”. Sin embargo, el asunto no versa sobre esta última persona sino sobre el reclamante, pues el documento anexo es un “Certificado de empresa para la solicitud de incapacidad laboral” emitido el 26/05/2020 por el representante legal de JEG´S LIFE en el que se recogen los datos personales del reclamante: además de su nombre y dos apellidos, su NIF, los datos completos del domicilio habitual, el número de afiliación a la Seguridad Social, el grupo de cotización, las fechas de alta y baja en la empresa, la fecha de la baja médica por incapacidad laboral y las “Bases de cotización por contingencias comunes y por AT/EP, según TC2, durante los últimos 180 días precedentes a la extinción del contrato de trabajo”. El correo electrónico de fecha 30/05/2020 está precedido de otros. El primero de ellos, el de 29/05/2020 que la gestoría XXXXX envió a las cuentas de los administradores solidarios 1 y 2, respectivamente ***EMAIL.3 y ***EMAIL.4, en el que les comunica que siguiendo sus instrucciones “hemos dado de baja a la seguridad social a SR. A.A.A. por despido con fecha de efectos 26/05/2020, al habernos confirmado que hoy se le ha transferido el importe de la indemnización. A la presente le envío certificado de empresa que debería firmar y hacer llegar al trabajador para que pueda solicitar el pago directo de su baja a partir del día 27/05/2020.” El titular de una de las cuentas receptoras del correo enviado por la gestoría -el administrador solidario 1, titular de la cuenta ***EMAIL.3 reenvió el correo el 29/05/2020 a C.C.C. en tres ocasiones: a las 14.11:57, a las 19:27:03 y a las 20:21:49 horas. -Un correo electrónico enviado por el reclamante el 29/07/2021 desde su cuenta ***EMAIL.5 a la dirección ***EMAIL.4. Como “Asunto” figura “Supresión de mis datos personales” y como “Datos adjuntos” “DNI.pdf; AEPD_SUPRESION DATOS.pdf”. El reclamante solicita al destinatario, administrador de JEG´S LIFE, la supresión de sus datos personales de las empresas JEG'S LIFE STYLE, S.L., SBTRAVELMANAG, S.L., y de cualquier otra empresa del grupo que los tenga y explica que su petición está motivada por “el uso ilícito que se ha hecho de su documentación ya que el administrador B.B.B. ha difundido documentos personales míos [...] a terceras personas sin mi consentimiento, y usted, D.D.D., como administrador también de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 sociedades, yendo en copia de muchos de los correos, no ha hecho nada al respecto.” Se aporta copia del mensaje recibido desde ***EMAIL.6 confirmando la entrega del mensaje a su destinatario. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a JEG´S LIFE para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó electrónicamente, de acuerdo con las normas de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), siendo la fecha de puesta disposición el 06/10/2021 y la fecha de aceptación de la notificación el 11/10/2021. Obra en el expediente el certificado emitido por el servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre (en adelante, certificado de la FNMT) que así lo acredita. JEG´S LIFE no respondió al traslado de la reclamación que le remitió la Subdirección de Inspección de Datos de la AEPD. TERCERO: Con fecha 23/12/2021, de acuerdo con lo prevenido en el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. La admisión a trámite de la reclamación se notificó electrónicamente a la parte reclamante en la misma fecha. CUARTO: Acuerdo de inicio del procedimiento sancionador. En fecha 03/08/2022 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 83.5.
  2. a)del RGPD. QUINTO: Notificación del acuerdo de inicio del procedimiento sancionador. El acuerdo se notificó a la parte reclamada electrónicamente, al ser un sujeto obligado a relacionarse con la Administración por este medio conforme al artículo 14 de la LPACAP. La notificación se puso a disposición en la sede electrónica el 04/08/2022 y el 15/08/2022 se produjo el rechazo automático. Así lo acredita el certificado emitido por la FNMT que obra en el expediente. Debe tenerse en cuenta que el artículo 41.6 de la LPACAP establece que las Administraciones Públicas, organismos públicos o entidades de derecho público vinculados o dependientes enviarán al interesado aviso informándole de la puesta a disposición de la notificación bien en la Dirección Electrónica Habilitada única, bien en la sede electrónica o sede electrónica asociada de la Administración, u Organismo o Entidad o, en su caso, en ambas. La falta de práctica de este aviso, de carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 meramente informativo, no impedirá que la notificación sea considerada plenamente válida. El Real Decreto 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos, recoge en su artículo 43.2 la siguiente previsión: “2. Cuando el interesado sea un sujeto obligado a relacionarse por medios electrónicos y la Administración emisora de la notificación no disponga de datos de contacto electrónicos para practicar el aviso de su puesta a disposición, en los procedimientos iniciados de oficio la primera notificación que efectúe la Administración, organismo o entidad se realizará en papel en la forma determinada por el artículo 42.2 de la Ley 39/2015, de 1 de octubre, advirtiendo al interesado en esa primera notificación que las sucesivas se practicarán en forma electrónica por comparecencia en la sede electrónica o sede electrónica asociada que corresponda o, en su caso, a través de la Dirección Electrónica Habilitada única según haya dispuesto para sus notificaciones la Administración, organismo o entidad respectivo, y dándole a conocer que, de acuerdo con lo previsto en el artículo 41.1 de la Ley 39/2015, de 1 de octubre, puede identificar un dispositivo electrónico, una dirección de correo electrónico o ambos para el aviso de la puesta a disposición de las notificaciones electrónicas posteriores.” (El subrayado es nuestro) En cumplimiento de la norma transcrita se notificó a la parte reclamada el acuerdo de apertura mediante correo postal. Obran en el expediente los siguientes documentos emitidos por la Sociedad Estatal Correos y Telégrafos, S.A. (en adelante, Correos) que lo acreditan: i. La “Certificación de imposibilidad de entrega” en la que consta que el envío para JEG´S LIFE STYLE, S.L., a la dirección Avenida Castell de Montbui 266, 08415 Bigues I Riels (Barcelona), ha resultado devuelto a origen por sobrante (no recogido en oficina) el 16/09/2022 teniendo la siguiente información asociada: “Primer intento de entrega el 07/09/2022, a las 14:14 por el empleado 485733 ha resultado Ausente”. ii. La certificación de fecha 19/10/2022 emitida “a petición de AGENCIA ESPAÑOLA DE PROTECCION DE DATOS, en calidad de remitente” con la información existente en sus Sistemas Informáticos relativa al envío XXXXXXXXXXXXXXXXXX a JEG'S LIFE STYLE, S.L., con este resultado: “Entregado al remitente el 28/09/2022 a las 11:50. Teniendo la siguiente información asociada: […] 1º intento de entrega el 07/09/2022 a las 14:14 2º intento de entrega el 08/09/2022 a las 17:33”. El último inciso del artículo 42.2. de la LPACAP, práctica de notificaciones en papel, precepto al que remite el artículo 43.2 del Real Decreto 203/2021, establece que “Si el segundo intento también resultara infructuoso, se procederá en la forma prevista en el artículo 44.” El artículo 44 de la LPACAP, referente a la “Notificación infructuosa”, prevé que en tales casos la notificación se haga por medio de un anuncio publicado en el «Boletín Oficial del Estado». C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 El “Suplemento de Notificaciones” del BOE de fecha 24/10/2022 publicó un anuncio por el que se notificaba a la parte reclamada el “Acuerdo de apertura” del procedimiento PS/00012/2022 y se le informaba de que “en el plazo máximo de 10 días hábiles contados desde el día siguiente al de la publicación del presente anuncio, el interesado a efectos de esta notificación o su representante, podrá solicitar, acreditando su identidad, una copia del documento correspondiente al acto administrativo señalado, para conocimiento de su contenido íntegro, solicitándolo a través de la Sede Electrónica de la Agencia (https://sedeagpd.gob.es/sedeelectronica-web/), o compareciendo de lunes a viernes de 9:00 a 14:30 en el Servicio de Atención al Ciudadano de la Agencia Española de Protección de Datos, calle Jorge Juan, 6, 28001 Madrid.” SEXTO: No se formulan alegaciones al acuerdo de inicio. Notificado el acuerdo de inicio de conformidad con la LPACAP y el Real Decreto 203/2021, habiendo transcurrido el plazo para formular alegaciones frente a dicho acuerdo no consta la presentación en esta Agencia por la parte reclamada. SÉPTIMO: Aplicación del artículo 64.2.
  3. f)de la LPACAP. El artículo 64.2.
  4. f)de la LPACAP -disposición de la que se informaba en el acuerdo de apertura del procedimiento- establece que si, en el plazo previsto, no se efectúan alegaciones sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el acuerdo de inicio de este expediente sancionador se concretó cuál era la conducta en la que se materializaba la vulneración del RGPD de la que se responsabilizaba a la parte reclamada. Además, la conducta infractora estaba acreditada a través de los documentos que la parte reclamante aportó con su escrito de reclamación: los correos electrónicos que la reclamada había enviado a varias personas en cuyo texto y en cuyos documentos anexos se facilitaba información personal concerniente a la parte reclamante. También quedó determinada en el acuerdo de inicio la sanción de multa administrativa que podría imponerse a tenor del artículo 58.2.
  5. i)del RGPD; las circunstancias, de entre las contempladas en el artículo 83.2. del RGPD, que en este caso eran aplicables como agravantes, así como el importe de la multa que podría imponerse: 20.000€. Asimismo, en el acuerdo de inicio del expediente sancionador se indicó que podría adoptarse como medida correctiva, de conformidad con el artículo 58.2.
  6. d)del RGPD, que se ordenara a la parte reclamada la supresión de los datos personales del reclamante conforme al artículo 17.1.
  7. a)del RGPD. Tomando en consideración los argumentos expuestos y que la reclamada no ha presentado alegaciones al acuerdo de inicio, al amparo de lo prevenido en el artículo 64.2.
  8. f)de la LPACAP, estimamos que el acuerdo de inicio dictado en este expediente sancionador tiene la consideración de propuesta de resolución. A la vista de lo actuado se aprecian en el procedimiento los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 PRIMERO: La parte reclamante denuncia que “B.B.B., administrador de la empresa JEG'S LIFE STYLE SL, en la que yo estuve trabajando en 2019 y 2020, ha divulgado información privada mía por e-mail a terceras personas.” SEGUNDO: Obran en el expediente, remitidos por la parte reclamante, los siguientes correos electrónicos que envió B.B.B. (administrador solidario 1 de JEG´S LIFE), desde su cuenta XXXXXXXX: a. El que envió en fecha 26/07/2021 tanto al reclamante como a 16 destinatarios más: “(…)”. Entre los destinatarios de ese correo figura D.D.D. (administrador solidario 2 de la mercantil reclamada). Consta en ese mail como “Asunto” y como “Datos adjuntos”, “CARTA DESP DISCIPLINARIO A.A.A. 2.doc”. El documento adjunto es una carta que lleva en su primera página los datos completos de JEG´S LIFE y del destinatario, el actual reclamante: su nombre, dos apellidos y su dirección postal. En la carta, con fecha de “Mayo de 2020”, la mercantil reclamada comunica al reclamante que ha decidido proceder a su despido disciplinario por “las irregularidades en su gestión que suponen una gravísima transgresión de la buena fe contractual”, irregularidades que detalla en el escrito. b. El enviado el 18/07/2021 en el que consta como “Asunto”: “Mintieron en los últimos juicios ambos”. El destinatario del correo es la cuenta ***EMAIL.2 con copia al reclamante y a dos personas más: (…). En el texto del mensaje electrónico se hacen diversas consideraciones sobre el reclamante: sus conocimientos de informática, su trabajo en el Ayuntamiento de Girona, el nombre de la persona con quien vive y que ha mentido desde el 25 de septiembre en todos los juicios. c. Un hilo de correos electrónicos que finaliza con el que envió el 30/05/2020 el administrador solidario 1 desde su cuenta ***EMAIL.1. al reclamante y a una tercera persona – C.C.C.- con copia a otras tres más: Francesc Duran; Jordi Grimau y Eduard Grimau. Como “Datos adjuntos” al mensaje electrónico figura: “image001.png; ATT00001.htm; certificat empresa A.A.A..pdf; ATT00002.htm”. Como “Asunto” el correo dice “BAIXA SEGURETAT SOCIAL SR. A.A.A.”. El asunto no versa, sin embargo, sobre esta última persona sino sobre la persona del reclamante, pues el documento anexo es un “Certificado de empresa para la solicitud de incapacidad laboral” emitido el 26/05/2020 por el representante legal de JEG´S LIFE en el que se recogen los datos personales del reclamante: además de su nombre y dos apellidos, su NIF, los datos completos del domicilio habitual, el número de afiliación a la Seguridad Social, el grupo de cotización, las fechas de alta y baja en la empresa, la fecha de la baja médica por incapacidad laboral y las “Bases de cotización por contingencias comunes y por AT/EP, según TC-2, durante los últimos 180 días precedentes a la extinción del contrato de trabajo”. Este correo electrónico está precedido de otros siendo el primero de ellos, el de 29/05/2020 enviado por la gestoría XXXXX a las cuentas de los administradores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 solidarios 1 y 2, respectivamente ***EMAIL.3 y ***EMAIL.4, en el que les comunica que siguiendo sus instrucciones “hemos dado de baja a la seguridad social a SR. A.A.A. por despido con fecha de efectos 26/05/2020, al habernos confirmado que hoy se le ha transferido el importe de la indemnización. A la presente le envío certificado de empresa que debería firmar y hacer llegar al trabajador para que pueda solicitar el pago directo de su baja a partir del día 27/05/2020.” El administrador solidario 1, titular de la cuenta XXXXXXXX, reenvió el correo el 29/05/2020 a C.C.C. en tres ocasiones: a las 14.11:57, a las 19:27:03 y a las 20:21:49 horas. TERCERO: La parte reclamante solicitó a JEG´S LIFE la supresión de sus datos personales, tanto de los que trata la parte reclamada como cualquier otra empresa del grupo, entre las que menciona expresamente a SBTRAVELMANAG,S.L., mediante un correo electrónico que envió el 29/07/2021 a la dirección ***EMAIL.4., que pertenece a un administrador solidario (que hemos identificado con el número 2) según la información publicada por el Registro Mercantil. Anexó a su reclamación la copia del DNI. Obra en el expediente, aportado por el reclamante, la copia del mensaje recibido desde ***EMAIL.6 que confirma la entrega a su destinatario del mensaje enviado solicitando la supresión de los datos. CUARTO: La parte reclamada aceptó la comunicación electrónica que le hizo la Subdirección de Inspección de datos de la AEPD en la que le daba traslado de la reclamación. Sin embargo, no respondió a la solicitud informativa. QUINTO: La parte reclamada no ha formulado alegaciones al acuerdo de inicio del procedimiento sancionador que se notificó, de acuerdo con la previsión del artículo 43.2 del Real Decreto 203/2021, en la forma prevista en el artículo 44.2 de la LPACAP. Además, el acuerdo de inicio se notificó electrónicamente, produciéndose el rechazo de la notificación conforme al artículo 43.2 de la LPACAP. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Normas jurídicas aplicables El RGPD se refiere a los principios que presiden el tratamiento de datos de carácter personal en el artículo 5, “Principios relativos al tratamiento”, precepto que dispone: “1. Los datos personales serán: […]
  9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»); […] 2.El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” El artículo 4 del RGPD, “Definiciones”, determina que, a efectos del presente Reglamento, se entenderá por “tratamiento” “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”. III Tratamiento en el que se concreta la infracción del principio de confidencialidad. 1.La documentación que obra en el expediente acredita que entre JEG´S LIFE y la parte reclamante existió una relación laboral que se inició el 28/02/2019 y se extinguió el 26/05/2020 por despido del trabajador. La relación laboral entre las partes habilitó a la parte reclamada para tratar datos personales del trabajador cuando el tratamiento fuese necesario, bien para el desenvolvimiento y ejecución del contrato de trabajo -fundamento de licitud establecido en el artículo 6.1.b, del RGPD-, bien para que pudiera cumplir las obligaciones que le impusieran normas con rango de ley o un convenio colectivo -base de licitud descrita en el artículo 6.1.c, del RGPD- o bien para satisfacer intereses legítimos del empleador o de un tercero siempre que sobre ellos no prevalecieran los derechos y libertades fundamentales del trabajador -base jurídica recogida en el apartado f, del artículo 6.1 del RGPD-. Todo tratamiento de datos personales está sujeto a los principios establecidos en el artículo 5.1. del RGPD, entre ellos el de confidencialidad (apartado
  10. f)En el supuesto examinado JEG´S LIFE -a través de su administrador solidario 1, B.B.B. - comunicó a terceros datos que concernían a la parte reclamante, a los que pudo tener acceso en virtud de la relación laboral que había existido entre ambas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 vulnerando con ello la obligación de confidencialidad de los datos objeto de tratamiento que le impone el RGPD. El tratamiento de los datos del reclamante contrario al RGPD que es objeto de examen se produjo después de que finalizara la relación laboral, lo que no es óbice para que el responsable continuase obligado a observar el principio de confidencialidad del artículo 5.1.
  11. f)del RGPD. 2.La documentación que obra en el expediente acredita que, JEG´S LIFE, a través de su administrador solidario 1, trató los datos personales del reclamante cuando la relación laboral había finalizado, incluso, en algún caso, cuando había transcurrido más de un año desde su extinción, para una finalidad ajena a aquella para la que los había recogido lícitamente que vulneró la obligación de confidencialidad. La infracción del principio de confidencialidad del que se responsabiliza a JEG`S LIFE, se materializa en los siguientes tratamientos efectuados por esa entidad: a. El 30/05/2020, unos días después de que hubiera terminado la relación laboral, el representante legal de JEG`S LIFE, su administrador solidario 1, envió un correo electrónico, en el que se incluía como documento anexo una copia del “Certificado de empresa para la solicitud de incapacidad laboral” perteneciente al reclamante, además de al propio reclamante, que era su destinatario natural, y al administrador solidario 2, quien, por otra parte, lo conocía pues lo había recibido legítimamente un día antes del gestor (gestoría XXXXX), a tres personas: (…). El certificado de empresa del extrabajador contenía numerosos datos personales. Además de su nombre y dos apellidos, su NIF, los datos completos del domicilio habitual, el número de afiliación a la Seguridad Social, el grupo de cotización, las fechas de alta y baja en la empresa, la fecha de la baja médica por incapacidad laboral y las “Bases de cotización por contingencias comunes y por AT/EP, según TC-2, durante los últimos 180 días precedentes a la extinción del contrato de trabajo”. Los dos administradores solidarios recibieron el 29/05/2020 el certificado de empresa del reclamante en sus respectivas cuentas, ***EMAIL.3 y ***EMAIL.4, como documento anexo a un correo electrónico que les envió la gestoría para que lo firmaran y se lo entregaran al trabajador a fin de que éste pudiera tramitar la solicitud de incapacidad laboral. JEG´S LIFE estaba obligada a emitir el certificado de empresa para que el extrabajador pudiera solicitar la incapacidad laboral, por lo que éste era el destinatario del certificado. Sin embargo, la reclamada facilitó el acceso al documento a terceras personas que no estaban legitimadas para el tratamiento de sus datos personales: (…). b. JEG´S LIFE, a través de su administrador solidario 1, desde su cuenta ***EMAIL.1, envió el 18/07/2021 un correo electrónico al titular de la cuenta ***EMAIL.2, con copia al reclamante y a dos personas más: (…). Como “Asunto” consta en el correo: “Mintieron en los últimos juicios ambos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Si bien el reclamante ha aportado un documento que, en su opinión, fue remitido por la parte reclamada anexo al correo electrónico de 18/07/2021 -documento que contiene su Curriculum Vitae, en el que constan, además de sus datos personales (nombre, dos apellidos y el NIF) el teléfono móvil, email, página en Lindekin, los puestos de trabajo desempeñados entre 2001 y 2017, la “Formación académica” y la “Formación no reglada”- ese extremo no ha quedado de ningún modo acreditado. En el mail enviado por el administrador solidario 1 en fecha 18/07/2021 no hay ninguna mención a la remisión de documentos adjuntos. De forma que no existen elementos de juicio para considerar, en línea con lo alegado por la parte reclamante, que la parte reclamada hubiera facilitada a las tres personas destinatarias del correo electrónico esa documentación. Por ello, la conducta a la que se alude en este apartado
  12. b)entraña una vulneración del principio de confidencialidad en tanto en cuanto la parte reclamada, al haber enviado el correo electrónico a ***EMAIL.2, (…), (…), les comunicó el dato de la cuenta de correo electrónico del reclamante, además de la información concerniente a su persona que hizo constar en el texto del mensaje electrónico. c. El representante legal de JEG´S LIFE, su administrador solidario 1, envió el 26/07/2021 desde su cuenta de correo ***EMAIL.1 un mensaje electrónico dirigido al reclamante y a 16 destinatarios más: “(…)”. En el correo constaba como “Asunto” y como “Datos adjuntos” “CARTA DESP DISCIPLINARIO A.A.A. 2.doc”. El documento adjunto es una carta en cuya primera página aparecen los datos del remitente, JEG´S LIFE, y los del actual reclamante, su nombre, dos apellidos y su dirección postal. En la carta, que lleva fecha de “Mayo de 2020”, la reclamada comunica al reclamante que ha decidido proceder a su despido disciplinario por “las irregularidades en su gestión que suponen una gravísima transgresión de la buena fe contractual”, irregularidades que detalla en ese escrito. En definitiva, a través del correo enviado comunicó a dieciséis destinatarios los datos del nombre, apellidos, dirección postal y dirección electrónica del reclamante. IV Infracción del principio de confidencialidad 1.Se responsabiliza a JEG´S LIFE de una infracción del artículo 5.1.
  13. f)del RGPD relativo al principio de confidencialidad. El considerando 39 del RGPD dice que “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” La Sentencia del Tribunal Constitucional (STC) 292/2000 dice a propósito del contenido del derecho a la protección de datos personales (Fundamento de Derecho 7): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos.” (El subrayado es nuestro) La documentación que obra en el expediente acredita que JEG´S LIFE, por medio de su representante legal, el administrador solidario 1, facilitó a terceras personas información que concernía a la parte reclamante a la que había tenido acceso en el marco de la relación laboral que ambos mantuvieron. En virtud del principio de responsabilidad proactiva (“accountabillity”) establecido en el artículo 5.2. del RGPD corresponde al responsable del tratamiento la obligación respetar los principios del artículo 5.1. del RGPD, por lo que aquí interesa, el de confidencialidad, así como la de poder acreditar su cumplimiento. Como ha manifestado el Gabinete Jurídico de la AEPD (entre otros, en los informes 17/2019 y 64/2020) el RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales que pasa a fundamentarse en el principio de “responsabilidad proactiva” (“accountability”) En ese sentido, la exposición de motivos de la LOPDGDD dice que “la mayor novedad que presenta el Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente, en el control del cumplimiento a otro que descansa en el principio de responsabilidad activa, lo que exige una previa valoración por el responsable o por el encargado del tratamiento del riesgo que pudiera generar el tratamiento de los datos de carácter personal para, a partir de dicha valoración, adoptar las medidas que procedan” El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la Directiva 95/46/CEE, derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas de protección de datos. En el supuesto de hecho que nos ocupa el tratamiento de los datos personales del reclamante en el que se materializa la infracción del artículo 5.1.
  14. f)del del RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 quedó plenamente acreditado a través de la documentación que aportó con su escrito de reclamación que se detalla en el Fundamento precedente. JEG´S LIFE no ha presentado alegaciones al acuerdo de inicio del expediente sancionador pese a que el acuerdo le fue notificado legalmente. La parte reclamada tampoco respondió al traslado informativo que le hizo la Subdirección de Inspección de la AEPD, previo a la admisión a trámite de la reclamación formulada contra ella, pese a que consta acreditado que accedió a la comunicación enviada electrónicamente. 2. La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) dispone en el artículo 28.1 que “Solo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, […] que resulten responsables de los mismos a título de dolo o culpa.” (El subrayado es nuestro) El considerando 74 del RGPD dice sobre esta cuestión: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” En el acuerdo de inicio del procedimiento sancionador, con ocasión de haber apreciado como agravante la concurrencia de la circunstancia del artículo 83.2.
  15. b)del RGPD - “La intencionalidad o negligencia en la infracción”- se incluyó esta afirmación: “En el presente supuesto, a la luz de la documentación que obra en el expediente, se evidencia con claridad que la parte reclamada actuó con la intención directa de dar a conocer a terceras personas información concerniente al reclamante.” El dolo debe ser siempre objeto de prueba. En el supuesto que examinamos la responsabilidad a título de dolo se infería de la reiteración de las conductas de la parte reclamada en las que daba a conocer a terceros información concerniente al reclamante. Cabe indicar, no obstante, que no estimando suficientemente acreditada la responsabilidad por dolo, sí resulta plenamente acreditada la actuación gravemente culposa o la negligencia grave de la responsable del tratamiento. De forma que el elemento de la culpabilidad, necesario para que surja la responsabilidad sancionadora, estaría integrado por la falta de diligencia demostrada por la reclamada en el cumplimiento del principio de confidencialidad al que viene obligada por el artículo 5.1.
  16. f)del RGPD. En ese sentido es digna de mención la Sentencia de la Audiencia Nacional, Sala de lo Contencioso-Administrativo, Sección 1ª, de 13/04/2005 (Rec. 230/2003), que, después de afirmar que la responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico y que debe de respetarse siempre el principio de culpabilidad que la Constitución garantiza -se infiere de los principios de legalidad y de prohibición de exceso, artículo 25 C.E., o de las exigencias inherentes al a un Estado de Derecho-, dice lo siguiente a propósito de la comisión culposa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 “En el caso presente es necesario tomar en consideración […] que cuando existe un deber especifico de vigilancia la culpa se integra por el simple incumplimiento del deber de vigilancia, sin que sea necesaria ninguna mayor acreditación a la hora de valorar si se ha producido la trasgresión del deber de guardar secreto. Este criterio resulta de sentencias como la de fecha 18 de Diciembre de 2002 (recurso 1096/2000) en un supuesto muy semejante al que ahora nos ocupa y cuyos argumentos son perfectamente trasladables al caso presente, según la cual "Pues bien, la conducta que configura el ilícito administrativo -artículo 44.2.
  17. e)de la Ley Orgánica 5/1992requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en el simple incumplimiento del deber de guardar secreto, deber que se transgrede cuando se facilita información a terceros de los datos que sobre el titular de una cuenta bancaria dispone la entidad recurrente, (...) pues la entidad bancaria no observó una conducta diligente tendente a salvaguardar el expresado deber de secreto, y esta conducta basta para consumar la infracción prevista en el citado artículo." (El subrayado es nuestro) 4.En atención a la exposición precedente se concluye que la parte reclamada incurrió en una infracción del artículo 5.1.
  18. f)del RGPD, materializada en la comunicación a terceros de los datos personales del reclamante, tratamiento que ha quedado plenamente acreditado y que se detalla en el Fundamento III, siendo responsable esta entidad a título de culpa por una grave falta de diligencia en el cumplimiento de las disposiciones del RGPD. V Tipificación de la infracción del artículo 5.1.
  19. f)RGPD La infracción del artículo 5.1.
  20. f)del RGPD que se atribuye a la parte reclamada está tipificada en el artículo 83.5.
  21. a)del RGPD: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  22. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” La LOPDGDD, a los solo efectos de determinar el plazo de prescripción de las infracciones, dispone en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves”: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  23. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 VI Sanción de multa administrativa El artículo 70.1 de la LOPDGDD dispone que están sujetos al régimen sancionador establecido en el RGPD y en esa ley orgánica: “
  24. a)Los responsables de los tratamientos.” Los poderes correctivos atribuidos a la AEPD como autoridad de control se detallan en el artículo 58.2 del RGPD, apartados
  25. a)a j), entre los que el precepto incluye la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i). Tal y como se indicó en el acuerdo de inicio del expediente sancionador, en el presente caso se considera procedente sancionar a JEG`S LIFE por la infracción del artículo 5.1.
  26. f)del RGPD con multa administrativa. El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en el apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento que se indican en sus apartados 4,5 y 6 cumpla, en cada caso individual, los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad conlleva una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. La exigencia impuesta por el artículo 83.2. del RGPD de que las multas administrativas sean, no solo efectivas y disuasorias, sino también proporcionadas obliga a tomar en consideración el volumen de negocio o cifra de actividad de la reclamada. Sobre este aspecto la información disponible es únicamente la cifra del capital social de la entidad, que según el Registro Mercantil asciende a 173.726 euros. Por otra parte, el artículo 83.2. del RGPD ofrece una relación de criterios o factores que deben ser tenidos en cuenta para graduar el importe de la sanción de multa. En el acuerdo de inicio del procedimiento se apreció la concurrencia de las siguientes circunstancias del artículo 83.2. del RGPD que operan en calidad de agravantes: - Artículo 83.2.
  27. a)RGPD: la gravedad de la infracción, teniendo en cuenta el alcance o propósito de la operación de tratamiento de que se trate. Como se dijo entonces, inciden diversos criterios que evidencian la gravedad de las conductas contrarias al RGPD desde el punto de vista del “alcance” o “propósito” de los tratamientos efectuados: (
  28. i)Han sido tres los tratamientos de datos efectuados por la parte reclamada en los que ha vulnerado el principio de confidencialidad. (
  29. ii)La vulneración de la confidencialidad de los datos personales del reclamante ha tenido un enorme alcance pues han sido numerosos los destinatarios de los correos electrónicos enviados por la reclamada en los que revelaba información de carácter personal del afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 (iii) El propósito de los tratamientos efectuados por la reclamada ha sido, precisamente, el mismo en el que se materializa la conducta contraria al RGPD. - Artículo 83.2.
  30. b)RGPD: “La intencionalidad o negligencia en la infracción”. Tal y como se expone en el Fundamento IV, subapartado 2, de esta resolución, aunque en el acuerdo de inicio se dijo que “En el presente supuesto, a la luz de la documentación que obra en el expediente, se evidencia con claridad que la parte reclamada actuó con la intención directa de dar a conocer a terceras personas información concerniente al reclamante”, lo cierto es que -pese a la existencia de indicios de que la parte reclamada actuó dolosamente- el dolo siempre debe ser objeto de prueba. No obstante, resulta incontestable y plenamente acreditada la actuación gravemente culposa o la negligencia grave de la responsable, JEG´S LIFE, en relación con el tratamiento que hizo de los datos del reclamante en el que se concreta la infracción del artículo 5.1.
  31. f)del RGPD que nos ocupa. Nos remitimos a tal efecto, tanto a la SAN, Sala de lo Contencioso-Administrativo, Sección 1ª, de 13/04/2005 (Rec. 230/2023) como al hecho de que, existiendo un deber especifico a cargo de la reclamada de garantizar la confidencialidad de los datos que obraban en su poder, el tratamiento que ha efectuado revela que no adoptó ninguna medida encaminada a garantizarlo. -Artículo 83.2.
  32. g)RGPD: “Las categorías de los datos de carácter personal afectados por la infracción”. Entre los datos concernientes al reclamante cuya confidencialidad ha sido vulnerada figuran no solo su nombre y apellidos, su domicilio habitual, su dirección electrónica, el grupo de cotización que tenía en la empresa reclamada, las fechas de alta y baja en la empresa, la fecha de la baja médica por incapacidad laboral y las “Bases de cotización por contingencias comunes y por AT/EP, según TC-2, durante los últimos 180 días precedentes a la extinción del contrato de trabajo”, también otros como su número de afiliación a la Seguridad Social o su NIF que le identifican de manera inequívoca. Sobre este extremo cabe señalar que, aunque el tenor literal del artículo 83.2.
  33. g)del RGPD parece conectar este criterio de graduación, exclusivamente, con el artículo 9 del RGPD y la clasificación que está implícita en esa disposición entre datos personales especialmente protegidos y el resto, sin embargo, en el RGPD hay referencias a otras clasificaciones de los datos que responden a la finalidad que persigue el artículo 83.2 del RGPD de graduación de la multa administrativa que deba imponerse, para el caso individual, respetando los principios de proporcionalidad y efectividad. Los considerandos 51 y 75 del RGPD distinguen un grupo de datos personales que por su naturaleza son particularmente “sensibles” por el importante riesgo que puede entrañar su tratamiento para los derechos y libertades fundamentales. Su denominador común es el riesgo que comporta para los derechos y las libertades fundamentales, pues su tratamiento puede llegar a provocar daños y perjuicios físicos, materiales o inmateriales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 Se incluyen en este grupo o categoría los datos especialmente protegidos que regula el artículo 9 del RGPD -considerando 51 del RGPD- y, además, otros muchos que no se citan en ese precepto. El considerando 75 menciona con detalle los datos personales cuyo tratamiento puede entrañar un riesgo de gravedad y probabilidad variables para los derechos y libertades de las personas físicas como consecuencia de que pueden provocar daños y perjuicios físicos, materiales o inmateriales. Entre ellos se refiere a aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo;” El identificador numérico del DNI junto con el carácter de verificación correspondiente al número de identificación fiscal identifica a una persona física de modo indubitado. Esta cualidad lo convierte en un dato particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. La vulneración del principio de confidencialidad del que se responsabiliza a la parte reclamada en esta resolución ha tenido por objeto, entre otros datos, el DNI/NIF del reclamante, que permite su identificación inequívoca, lo que incide en la gravedad de la conducta. Razones que conducen a que se aprecie la circunstancia del apartado
  34. g)del artículo 83.2. RGPD como agravante, como también se estimó su concurrencia en el acuerdo de inicio del expediente sancionador. No se aprecia la concurrencia de ninguna circunstancia del artículo 83.2 del RGPD que opere atenuando la responsabilidad de la parte reclamada o la antijuridicidad de su conducta. Así las cosas, se acuerda sancionar a la entidad reclamada por la vulneración del artículo 5.1.
  35. f)del RGPD, tipificada en el artículo 83.5.
  36. a)del RGPD, con multa administrativa (artículo 58.2.
  37. i)que se fija, atendidas las circunstancias del artículo 83.2 RGPD que operan como agravantes -apartados a),
  38. b)y g)- en 20.000€ (veinte mil euros). VII Medidas correctivas El artículo 58.2.
  39. d)del RGPD dispone que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. El acuerdo de apertura del procedimiento sancionador decía que, a tenor del artículo 58.2
  40. d)del RGPD, podrían imponerse a JEG’S LIFE las medidas correctivas que fueran necesarias para adecuar su actuación a la normativa de protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 como, por ejemplo, ordenar a la reclamada que suprimiera los datos personales del reclamante. Cabe recordar que la parte reclamante aportó con su reclamación la copia del correo electrónico que envió el 29/07/2021 desde su cuenta, ***EMAIL.5 a la dirección ***EMAIL.4 (D.D.D., administrador solidario 2 de la parte reclamada) en el que solicitaba la supresión de sus datos personales de las empresas JEG'S LIFE STYLE S.L., SBTRAVELMANAG, S.L. y de cualquier otra empresa del grupo que los tenga. Le remitió también la copia de su DNI. Explicó que su petición estaba motivada por “el uso ilícito que se ha hecho de su documentación ya que el administrador B.B.B. ha difundido documentos personales míos [...] a terceras personas sin mi consentimiento, y usted, D.D.D., como administrador también de las sociedades, yendo en copia de muchos de los correos, no ha hecho nada al respecto.” El reclamante aportó, además, con su escrito de reclamación una copia del mensaje recibido desde ***EMAIL.6 que confirmaba la entrega a su destinatario de ese mensaje. Según lo dispuesto en el art. 83.2 del RGPD la imposición de las medidas correctivas (artículo 58.2.d, del RGPD) es compatible con la sanción de multa administrativa (artículo 58.2.i, RGPD) Así pues, al amparo del artículo 58.2.
  41. d)del RGPD, se ordena a JEG´S LIFE que proceda a dar respuesta al derecho de supresión de sus datos personales que la parte reclamante ejercitó ante ella (artículo 17 del RGPD) y proceda, además, en el plazo de 15 días desde que esta resolución fuera ejecutiva, a remitir a la AEPD la documentación acreditativa de la respuesta al derecho ejercitado por la reclamante y de su correcta notificación. Se le informa de que no atender los requerimientos de este organismo puede ser constitutivo de una infracción administrativa tipificada en el artículo 83.6 del RGPD, pudiendo motivar tal infracción la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a JEG'S LIFE STYLE, S.L., con NIF B61273678, por una infracción del aartículo 5.1.
  42. f)del RGPD, tipificada en el artículo 83.5.
  43. a)del RGPD, una multa administrativa por importe de 20.000€ (veinte mil euros). SEGUNDO: ORDENAR a JEG´S LIFE STYLE, S.L., con NIF B61273678, de acuerdo con el artículo 58.2.
  44. d)del RGPD, que responda al derecho de supresión (artículo 17 del RGPD) que la parte reclamante ejercitó ante ella y proceda, en el plazo de 15 días desde que esta resolución fuera ejecutiva, a remitir a la AEPD acreditación documental de la respuesta y de su notificación a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 TERCERO: NOTIFICAR la presente resolución a JEG'S LIFE STYLE, S.L., con NIF B61273678. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de acuerdo con lo dispuesto en el artículo 98.1.
  45. b)de la LPACAP, en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
  46. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.