1/24 Expediente N.º: EXP202202685 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 1 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EMAILING NETWORK EUROPE, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202202685 IMI Reference A56ID 340965 Case Register 471773 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 14 de febrero de 2021, la autoridad francesa de protección de datos (en adelante la CNIL), recibe una reclamación de una persona, cuyos datos se encuentran anonimizados, (en adelante la parte reclamante). La reclamación se dirige contra la entidad EMAILING NETWORK SARL. En su escrito, la parte reclamante ponía de manifiesto que EMAILING NETWORK SARL es el titular del sitio web ***WEB.
(25).” D) Con fecha 27 de diciembre de 2022, a través del Sistema IMI, mediante una nueva asistencia voluntaria, se solicitó a la CNIL que compartiera la reclamación original presentada ante la autoridad francesa. La autoridad francesa transmitió la citada reclamación el día 3 de enero de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 En esta asistencia voluntaria España se declaró autoridad principal en el presente asunto. El traslado de este asunto se realiza de conformidad con lo establecido en el artículo 61 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Francia, las autoridades de Bélgica e Italia. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. De esta denuncia original se extrae la siguiente información: la denuncia tiene fecha de 14 de febrero de 2021. En ella, la parte reclamante indica que el sitio web ***URL.2 podía contener perfiles con datos personales como apellido, nombre, código postal, fecha de nacimiento, género y país, a los que se podía acceder con la mera introducción de la dirección de correo electrónico y sin ningún otro factor de autenticación adicional. El día 12 de enero de 2023, se accede al sitio web***WEB.1 y se realiza el registro de un usuario introduciendo los siguientes datos: nombre, apellidos, correo electrónico, fecha de nacimiento, código postal, país y género. El día 27 de enero de 2023, se accede al sitio web***WEB.1, y se navega hasta la página ***URL.3, donde se accede a la opción “Darme de baja”, observando el siguiente comportamiento de la página: Aparece una pantalla en la que solicita que se introduzca una dirección de correo electrónico, se introduce la misma dirección que se registró el pasado 12 de enero de 2023, y se pulsa el botón “ENVIAR”, y después “MODIFICAR MI PERFIL”. De este modo, se accede a una pantalla en la que se pueden ver los siguientes datos que fueron introducidos en el registro realizado el día 12 de enero de 2023: correo electrónico, nombre, apellidos, código postal, país y fecha de nacimiento. El dato de género no aparece seleccionado. De la consulta realizada en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es/) el día 30 de enero de 2023, se obtiene que EMAILING NETWORK EUROPE SL es una empresa autónoma con un número de empleados de 25 y unas ventas de 1.631.450 €. SÉPTIMO: Con fecha 8 de marzo de 2023, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 17 de marzo de 2023 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión, que se notificó a EMAILING NETWORK EUROPE conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 8 de marzo de 2023, como consta en el acuse de recibo que obra en el expediente. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EMAILING NETWORK EUROPE, S.L., realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, fecha de nacimiento y correo electrónico, entre otros tratamientos. Se trata de un tratamiento transfronterizo, dado que EMAILING NETWORK EUROPE, S.L. está establecida en España, si bien presta servicio a otros países de la Unión Europea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, la autoridad francesa de protección de datos, tras examinar las respuestas de la empresa española dadas tras el requerimiento realizado por los inspectores de esta AEPD, ha puesto de manifiesto que: “el establecimiento español podría ser el establecimiento principal en relación con el procesamiento en el dominio «***WEB.1» La empresa francesa es una filial de la empresa española. El grupo parece contar varias docenas de empleados, todos ellos en España, incluido el DPO de la compañía. Su representante legal es también el representante de la empresa española. Firmó el acuerdo de corresponsabilidad en nombre de ambos establecimientos. Los números de teléfono que nos dieron para él son números españoles. Los avisos de información disponibles en el dominio «***WEB.1» están en español, o los enlaces que conducen a ellos están rotos. La Política de Privacidad menciona el derecho a presentar una reclamación ante una autoridad de control, pero envía a los interesados a la AC española. En respuesta a sus preguntas, el establecimiento español reconoce que define los medios de tratamiento por sí mismo y lleva a cabo todas las operaciones de tratamiento. Si bien menciona una vez más que el establecimiento francés decide sobre la finalidad del tratamiento, no ofrece pruebas ni pruebas racionales de esa afirmación. Por todas estas razones, no creemos que la SA francesa sea la autoridad principal con respecto a este responsable de datos. Es por eso que nos gustaría pedir a la SA española que tome la iniciativa en este caso.” Por lo tanto, tal y como se ha expuesto, la Agencia Española de Protección de Datos se declaró autoridad de control principal, a petición de la autoridad francesa. Por su parte, el artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haber quedado expuestos los datos personales. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la limitación del plazo de conservación se encuentra regulado en el apartado 1.
- e)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 artículo 5 del RGPD; la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
- f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en los artículos 25 y 32 del RGPD, que reglamentan la protección de los datos desde el diseño y por defecto, y la seguridad del tratamiento, respectivamente. III Limitación del plazo de conservación El artículo 5 del RGPD, referido a los “principios relativos al tratamiento” en su apartado 1.
- e)establece: “1. Los datos personales serán: (…)
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante periodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente reglamento a fin de proteger los derechos y libertades del interesado (“limitación del plazo de conservación”)” Asimismo, el considerando 39 establece: “Todo tratamiento de datos personales debe ser lícito y leal. (…) Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” A su vez, el considerando 65 establece: “Los interesados deben tener derecho a que se rectifiquen los datos personales que les conciernen y un “derecho al olvido” si la retención de tales datos infringe el presente Reglamento o el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento. En particular, los interesados deben tener derecho a que sus datos personales se supriman y dejen de tratarse si ya no son necesarios para los fines para los que fueron recogidos o tratados de otro modo, si los interesados han retirado su consentimiento para el tratamiento o se oponen al tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 personales que les conciernen, o si el tratamiento de sus datos personales incumple de otro modo el presente Reglamento. (…) En el presente caso, una vez accedido a la política de privacidad de EMAILING NETWORK EUROPE, a través de ***WEB.1 “Dentro de la política de privacidad de la misma, en el apartado 4, referido a “¿durante cuánto tiempo conservamos sus datos?” se recoge: que solo procesan los datos personales hasta que se retire el consentimiento. El consentimiento se puede revocar en cualquier momento. En este caso, los datos serán bloqueados automáticamente para dejar de ser tratados, - Cuando se ejerciten los derechos, a excepción del derecho de rectificación. - una vez transcurridos 5 años desde el último contacto con el interesado. -automáticamente, tras seis meses de contacto sin que se haya obtenido respuesta” Por otro lado, según ha manifestado EMAILING NETWORK SARL en su contestación al requerimiento de información efectuado por la CNIL de fecha 13 de septiembre de 2021: “los datos de los usuarios se mantienen activos en la base de datos durante 120 días. Pasado ese tiempo, los usuarios se bloquean y pasan a una base de datos no activa, que se usa en caso de que se tenga que revisar alguna irregularidad, y por motivos de responsabilidad legal.” Es decir, de conformidad con las manifestaciones de la empresa, en el presente caso, en la política de privacidad se afirma que se bloquearán los datos cuando se revoque el consentimiento o, entre otros, tras seis meses de contacto sin obtener respuesta, mientras que en su respuesta a esta AEPD manifestaron que los datos se mantienen activos durante 120 días. En cualquier caso, ya sea que los datos se conserven durante 120 días o tras seis meses, no ha quedado acreditado que el plazo de conservación de los datos personales exceda del plazo legalmente permitido. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, en lo que se refiere al tiempo de conservación de los datos personales, en este supuesto concreto. IV Deber de confidencialidad El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, ha quedado acreditado que en la página web ***WEB.1 se puede dar de alta un perfil rellenando nombre y apellidos, correo electrónico, fecha de nacimiento, código postal, país y género. Una vez dado de alta el usuario, entrando en la página web ***URL.2 se puede acceder a los datos de nombre y apellidos, correo electrónico, código postal, país y fecha de nacimiento, mediante la introducción de la dirección de correo electrónico, es decir, no se requiere la introducción de contraseña para acceder a dichos datos. No obstante, cabe recordar que la mera identificación de una brecha de seguridad por parte de esta Agencia no implica que se hubiera producido un acceso indebido por parte de terceros a los datos personales titularidad del responsable de tratamiento. En el presente caso, si bien los datos personales eran accesibles con sólo introducir la dirección de correo de una persona registrada, no ha quedado acreditado que terceras personas hubieran accedido a ninguna información personal titularidad del responsable de tratamiento. Por lo tanto, en base a lo indicado, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, en lo que se refiere a la integridad y confidencialidad de los datos, en el presente supuesto. V Protección de datos desde el diseño y por defecto El Artículo 25 “Protección de datos desde el diseño y por defecto” del RGPD establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 3.Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.” Este artículo se encuadra dentro de las obligaciones generales que el Capítulo IV del RGPD establece al responsable del tratamiento, imponiendo una obligación de diseño en el momento de determinar los medios de tratamiento, los cuales deben garantizar de forma efectiva el cumplimiento de los principios de protección de datos, recogidos en la normativa general de Protección de Datos. En el presente caso, se ha constatado, tanto por la autoridad francesa de protección de datos, en fecha 28 de julio de 2022, como por los inspectores adscritos a esta AEPD, mediante diligencia incorporada a este expediente en fecha 27 de enero de 2023, que, una vez que un usuario se ha dado de alta en la página web ***WEB.1, y con la mera introducción del correo electrónico con el que se ha registrado, se puede acceder, desde la página web ***URL.2, a los datos personales del mismo (nombre y apellidos, correo electrónico, fecha de nacimiento, código postal y país). Es decir, se accede a esos datos personales sin la necesidad de introducir ningún otro dato aparte del correo electrónico. De este modo, solo con introducir el correo electrónico con el que se hubiera efectuado el registro en la página web de ***WEB.1 se podía acceder a los datos personales de la persona que se había registrado. En consecuencia, con esta comprobación tal y como se ha configurado el registro en esta página web habría quedado acreditado que no se habrían analizado de forma adecuada los riesgos para los derechos y libertades de las personas físicas, ni previsto ni aplicado desde el diseño las medidas técnicas y organizativas apropiadas, para aplicar de forma efectiva los principios de protección de datos, como el principio de confidencialidad, que exige el artículo 25 RGPD. En este caso concreto, no haber previsto estas medidas desde el diseño podría determinar que cualquier persona que introdujera un correo electrónico que estuviera registrado, podría acceder a los datos personales sin autorización para ello. Por todo lo anterior, se pone de manifiesto que EMAILING NETWORK EUROPE ha incumplido la obligación de diseño de unas medidas de seguridad, que garanticen la confidencialidad de los datos personales de las personas que se registran en la web ***WEB.1. De conformidad con las evidencias de las que se dispone en este acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a EMAILING NETWORK EUROPE, por vulneración del artículo 25 del RGPD. VI Tipificación de la infracción del artículo 25 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 De confirmarse, la citada infracción del artículo 25 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679. (…)” VII Sanción por la infracción del artículo 25 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por poner en riesgo y no contar con las medidas apropiadas para garantizar el cumplimiento de los principios del tratamiento respecto de los datos de las personas dadas de alta en la web ***WEB.1, ( según indican: 8812 usuarios activos de España (y 412919 usuarios no activos); 5112 usuarios activos en Italia (y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 148364 usuarios no activos); 667 usuarios activos en Francia (y 31788 usuarios no activos), teniendo en cuenta que, desde al menos el 14 de febrero de 2021, fecha en la que tiene entrada la reclamación en la CNIL, hasta al menos el 27 de enero de 2023, el sistema para acceder al perfil no había sido corregido. - Intencionalidad/ Negligencia en la infracción (apartado b): En el presente caso, EMAILING NETWORK EUROPE habría actuado de manera muy negligente, ya que, desde al menos el 14 de febrero de 2021, fecha de entrada de la reclamación, hasta el 27 de enero de 2023, fecha en la que se efectuó la última comprobación, habría transcurrido casi dos años sin que se adoptaran las correctas medidas para garantizar la seguridad de los datos personales titularidad del responsable de tratamiento, el cual ni siquiera habría previsto la posibilidad de que estos datos pudieran quedar expuestos. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): se trata de una entidad habituada al tratamiento de datos personales Como atenuantes: - Disponer, cuando no fuere obligatorio, de un delegado de protección de datos (apartado
- g)El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 25 del RGPD, permite fijar inicialmente una sanción de 10.000 € (diez mil euros). VIII Medidas de seguridad El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, se ha constatado, tanto por la autoridad francesa de protección de datos, en fecha 28 de julio de 2022, como por los inspectores adscritos a esta AEPD, mediante diligencia incorporada a este expediente en fecha 27 de enero de 2023, que, una vez que un usuario se ha dado de alta en la página web ***WEB.1, y con la mera introducción del correo electrónico con el que se ha registrado en la página web ***URL.2, se puede acceder a los datos personales del mismo (nombre y apellidos, correo electrónico, fecha de nacimiento, código postal y país). Es decir, se accede a esos datos personales sin la necesidad de introducir ningún otro dato aparte del correo electrónico. Estos hechos podrían constituir una infracción del artículo 32 del RGPD, dado que no se habrían adoptado las medidas apropiadas para impedir que se produjeran accesos no autorizados, como medidas para garantizar la correcta identificación y autenticación de los usuarios. Hay que señalar que el RGPD no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que, en virtud del principio de responsabilidad proactiva del artículo 5.2 del propio RGPD, el cual comporta la exigencia de que el responsable del tratamiento asegure la efectiva privacidad e integridad de los datos, tanto el responsable como el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Además, el responsable tiene que estar en condiciones de demostrar que ha implantado esas medidas y que las mismas son las adecuadas para lograr la finalidad perseguida. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “
(83)A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. Por todo lo expuesto, las medidas técnicas y organizativas aplicadas por EMAILING NETWORK EUROPE no garantizan un nivel de seguridad adecuado al riesgo, tal y como exige el artículo 32 RGPD, en la medida en que no permiten verificar que quien accede a los datos está autorizado. Por tanto, se concluye que EMAILING NETWORK EUROPE no habría implementado ninguna medida que evitara accesos no autorizados. Por todo ello, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a EMAILING NETWORK EUROPE, por vulneración del artículo 32. IX Tipificación de la infracción del artículo 32 De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…)” VIII Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por poner en riesgo y no contar con las medidas apropiadas para garantizar la seguridad de los datos de las personas dadas de alta en la web ***WEB.1, ( según indican: 8812 usuarios activos de España (y 412919 usuarios no activos); 5112 usuarios activos en Italia (y 148364 usuarios no activos); 667 usuarios activos en Francia (y 31788 usuarios no activos), teniendo en cuenta que, desde al menos el 14 de febrero de 2021, fecha en la que tiene entrada la reclamación en la CNIL, hasta al menos el 27 de enero de 2023, el sistema para acceder al perfil no había sido corregido. - Intencionalidad/ Negligencia en la infracción (apartado b): En el presente caso, EMAILING NETWORK EUROPE habría actuado de manera muy negligente, ya que, desde al menos el 14 de febrero de 2021, fecha de entrada de la reclamación, hasta el 27 de enero de 2023, fecha en la que se efectuó la última comprobación, habría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 transcurrido casi dos años sin que se adoptaran las correctas medidas para garantizar la seguridad evitar la pérdida de confidencialidad de los datos personales titularidad del responsable de tratamiento. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): se trata de una entidad habituada al tratamiento de datos personales Como atenuantes: - Disponer, cuando no fuere obligatorio, de un delegado de protección de datos (apartado
- g)El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar inicialmente una sanción de 10.000 € (diez mil euros). IX Imposición de medidas De confirmarse la infracción, podría acordarse imponer al responsable que en el plazo de 60 días proceda a adecuar su página web a fin de que no sea posible acceder a los datos de las personas registradas con sólo introducir un correo electrónico al entrar en la página web ***URL.2, de acuerdo a lo ya señalado, sin perjuicio de otras que pudieran derivarse de la instrucción del procedimiento, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD Asimismo, las medidas que pudieran adoptarse en la resolución que ponga fin al procedimiento serían de aplicación en todos los países de la Unión Europea en los que opere EMAILING NETWORK EUROPE. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a EMAILING NETWORK EUROPE, S.L., con NIF B64649957: - por la presunta infracción del artículo 25 del RGPD, tipificada en el artículo 83.4 del RGPD. - por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD . SEGUNDO: NOMBRAR como instructora a A.A.A. y, como secretaria, a B.B.B., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la documentación procedente del IMI que ha dado lugar a las actuaciones previas de investigación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador y la documentación procedente del IMI sobre el proyecto de decisión. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas la sanción que pudiera corresponder sería de: - Por la supuesta infracción del artículo 25 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 10.000 euros Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 10.000 euros QUINTO: NOTIFICAR el presente acuerdo a EMAILING NETWORK EUROPE, S.L., con NIF B64649957, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 12.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 16.000 euros o 12.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del expediente que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.
- es)y el Servicio de Notificaciones Electrónicas (notificaciones.060.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-030423 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de junio de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202202685, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a EMAILING NETWORK EUROPE, S.L. para que en el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a EMAILING NETWORK EUROPE, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es