← España

PS-00042-2019

1/7 824-150719  Procedimiento Nº PS/00042/2019 RESOLUCIÓN: R/00677/2019 En el procedimiento PS/00042/2019, instruido por la Agencia Española de Protección de Datos a A.A.A. (Asociación para el estudio de plantas dioicas y sus procesos de reproducción) y en consideración a los siguientes ANTECEDENTES PRIMERO: En fecha 03/08/2018 tiene entrada en el registro de la Agencia Española de Protección de Datos (AEPD) un escrito firmado por el “Inspector Jefe Acctal.” de la Policía Local de ***LOCALIDAD.1, (en adelante, la reclamante) al que acompaña el Acta número ***ACTA.1, levantada por dos miembros de la Policía Local en fecha 02/05/2018, en la que se deja constancia de la presunta infracción de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) por D. A.A.A.., con NIE ***NIE.1 (en adelante, el reclamado) de nacionalidad belga, en calidad de Presidente de la Asociación para el Estudio de Plantas Dioicas y su Proceso de Reproducción (en lo sucesivo la Asociación) En el Acta la Policía Local indica que la Asociación presidida por el reclamado recoge datos de carácter personal a través de formularios e incumple la obligación de informar a sus titulares en los términos que exige la normativa de protección de datos de carácter personal. Añade que carece de un registro documental de socios. La reclamante aporta varios ejemplares de formularios de solicitud de inscripción en la Asociación cumplimentados con datos personales. En ellos constan nombres y apellidos, números de identificación -comienzan todos por la letra “Y”-, fechas de nacimiento y, en algunos casos, direcciones de correo electrónico y datos del domicilio. Es digno de mención que los formularios llevan impresa esta leyenda: “Documentación aportada: . Fotocopia y original del DNI/NIE o permiso de residencia o cualquier documento de identificación válido y de análogo valor identificativo que los citados. . En caso de socios terapéuticos, informe médico que acredite su condición de usuario terapéutico (inclusión de cualquiera de las patologías contenidas en la lista de la IACM) o certificado médico donde se recomiende el uso de cannabinoides.” Los formularios de inscripción en la Asociación cumplimentados con datos personales que nos ha remitido la reclamante se encuentran debidamente firmados por los titulares de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 SEGUNDO: Con fecha 20/11/2018 la AEPD remitió al reclamado una petición de información mediante correo postal certificado. El documento emitido por Correos el 05/12/2018 deja constancia de que tal envío fue devuelto a esta Agencia por no haber sido retirado de la oficina el 05/12/2018. El primer intento de entrega se efectuó el 23/11/2018 a las 14:56 horas. El segundo intento, con el resultado “Ausente. Se deja aviso en el buzón”, se hizo el 27/11/2018 a las 18:28 horas. La Inspección de Datos reiteró la solicitud de información mediante un nuevo escrito remitido por correo certificado el 10/01/2019. En el Certificado emitido por Correos el 24/01/2019 se informa de que fue devuelto a origen por “dirección incorrecta” el 24/01/2019. TERCERO: A tenor de la documentación que obra en el expediente queda acreditado que los hechos sobre los que versa la denuncia, y que constituyen el presupuesto fáctico de una presunta infracción de la normativa de protección de datos de carácter personal, acontecieron “hasta” el “2 de mayo de 2018, a las 10 horas”. Es la fecha y hora que aparece en el Acta levantada por la Policía Local, sin que obre en poder de esta Agencia indicio o prueba alguna de que posteriormente hubiera continuado el tratamiento de los datos sobre el que versa la reclamación. Los hechos acontecieron antes del 25 de mayo de 2018, fecha de aplicación efectiva del Reglamento 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos. Así pues, quedan sometidos a las disposiciones de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y a su Reglamento de desarrollo aprobado por el Real Decreto 1720/2007 (RLOPD). CUARTO: Con fecha 01/04/2019 se firma por la Directora de la Agencia Española de Protección de Datos acuerdo de Audiencia Previa al Apercibimiento a D. A.A.A. (presidente de la ASOCIACIÓN PARA EL ESTUDIO DE PLANTAS DIOICAS Y SUS PROCESOS DE REPRODUCCIÓN), por la comisión de una infracción del artículo 5.2 de la LOPD, tipificada como infracción leve en el artículo 44.2.

  1. c)de la LOPD. QUINTO: El artículo 64.2.
  2. f)de la Ley de Procedimiento Administrativo de las Administraciones Públicas 39/2015 (LPACAP) establece que en caso de no formular alegaciones al acuerdo de inicio éste podrá ser considerado propuesta de resolución si contiene un pronunciamiento preciso acerca de la responsabilidad imputada. El acuerdo de declaración de apercibimiento se intentó notificar al reclamado a través de correo postal el 4/04/2019 resultando “Ausente en reparto”. Se procede a la notificación a través de edictos publicados en el BOE de 30/05/2019. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 1. Obra en el expediente administrativo el Acta número ***ACTA.1, levantada por dos miembros de la Policía Local de ***LOCALIDAD.1 en fecha 02/05/2018, en la que se deja constancia de que la Asociación que el reclamado preside recoge datos de carácter personal a través de formularios, incumple la obligación de informar a sus titulares en los términos que exige la normativa de protección de datos de carácter personal y carece de un registro documental de socios. 2. Obran en el expediente, remitidos por la Policía Local de ***LOCALIDAD.1, varios ejemplares de formularios de solicitud de inscripción en la Asociación que están debidamente cumplimentados con datos personales. En ellos constan nombres y apellidos, números de identificación -comienzan todos por la letra “Y”-, fechas de nacimiento y, en algunos casos, direcciones de correo electrónico y datos del domicilio. Están debidamente firmados por los titulares de los datos. 3. En el modelo de formulario utilizado por el reclamado se incluye esta leyenda: “Documentación aportada: . Fotocopia y original del DNI/NIE o permiso de residencia o cualquier documento de identificación válido y de análogo valor identificativo que los citados. . En caso de socios terapéuticos, informe médico que acredite su condición de usuario terapéutico (inclusión de cualquiera de las patologías contenidas en la lista de la IACM) o certificado médico donde se recomiende el uso de cannabinoides.” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en los artículos 47, 64.2 y 68 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD) II La Ley Orgánica 15/1999 de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) establece en su artículo 5 “Derecho de información en la recogida de datos”: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
  3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
  6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. (…) 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  8. c)y
  9. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. 4. Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informad de forma expresa, precisa e inequívoca por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así como de lo previsto en las letras a), d), y
  10. e)del apartado 1 del presente artículo. 5. No será de aplicación lo dispuesto en el apartado anterior cuando expresamente una ley lo prevea, cuando el tratamiento tenga fines históricos estadísticos o científicos, o cuando la información al interesado resulte imposible o exija esfuerzos desproporcionados, a criterio de la Agencia de Protección de Datos o del organismo autonómico equivalente, en consideración al número de interesados, a la antigüedad de los datos y a las posibles medidas compensatorias. Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le informará del origen de los datos y de la identidad del responsable del tratamiento, así como de los derechos que le asisten.” La vulneración del artículo 5 LOPD se tipifica como infracción leve en el artículo 44.2. LOPD que dispone: “Son infracciones leves: (…)
  11. c)El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado. El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. (El subrayado es de la AEPD) A este respecto han de ser objeto de valoración las disposiciones de los artículos 45.4 y 5 de la LOPD que señalan: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 La documentación que obra en el expediente -en particular los formularios de recogida de datos personales utilizados por el reclamado en la actividad que desarrolla en la asociación que preside- evidencia que no cumplía con la obligación de informar,, a las personas de quienes recogía datos personales, en los términos establecidos por la normativa vigente entonces, artículo 5 de la LOPD. Obligación que actualmente está prevista en el artículo 13 del Reglamento (UE) 2016/679 de Protección de Datos (RGPD). En el asunto que examinamos están presentes los requisitos descritos en los apartados
  27. a)y
  28. b)del artículo 45.6 de la LOPD: la conducta denunciada constituye una infracción leve de la LOPD y el presunto infractor no ha sido sancionado nunca por esta Agencia. A lo anterior se añade que concurren significativamente varias de las circunstancias modificativas de la responsabilidad que se detallan en el artículo 45.4 de la LOPD, en particular, las siguientes: el escaso volumen de actividad de la Asociación que preside el denunciado (apartado d); que no se tiene constancia de que se hayan ocasionado perjuicios a los titulares de los datos recabados (apartado
  29. h)y que, en atención a que el denunciado no es nacional español, no existen elementos de juicio para creer que el incumplimiento de la normativa de protección de datos haya sido intencional ni fruto de una negligencia grave, sino más bien fruto de la omisión de la diligencia debida que cabría calificar de leve (apartado f ). Todo ello justifica la aplicación al supuesto analizado del procedimiento contemplado en el artículo 45.6 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: APERCIBIR a A.A.A. (ASOCIACIÓN PARA EL ESTUDIO DE PLANTAS DIOICAS Y SUS PROCESOS DE REPRODUCCIÓN) con NIE ***NIE.1, de conformidad con el artículo 45.6 de la LOPD, para que adopte las medidas correctoras que resulten pertinentes a fin de dar cumplimiento a la obligación de informar en los términos de la normativa vigente en materia de protección de datos, artículo 13 del Reglamento (UE) 2016/679 de Protección de Datos ( RGPD). SEGUNDO: NOTIFICAR la presente resolución a A.A.A. (ASOCIACIÓN PARA EL ESTUDIO DE PLANTAS DIOICAS Y SUS PROCESOS DE REPRODUCCIÓN). TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  30. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.