← España

PS-00047-2023

1/15  Expediente N.º: EXP202211705 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante), con fecha 1 de abril de 2022, interpuso una reclamación ante la autoridad irlandesa de protección de datos (Data Protection Commission). La reclamación se dirige contra MAKING SOLUTIONS, S.L. (MY PERFECT WEDDING) con NIF B76509769 (en adelante, MY PERFECT WEDDING). Los motivos en que basa la reclamación son los siguientes: El 18 de febrero de 2022 la parte reclamante solicitó derecho de acceso a sus datos personales y los de su pareja, sin que tal solicitud hubiera sido debidamente atendida por parte de MY PERFECT WEDDING. También en la reclamación se indica que: “(…) we note that there are parties involved in this where they have furnished our sensitive data to friends of their's without them having a consent from us. We are aware that the contract does have privacy laws included in it, whereby it states that they would furnish documents to solicitors however this is not the case and we have an email from their friend indicating this. (…)” [traducción no oficial: “(…) observamos que hay partes involucradas en esto que han proporcionado nuestros datos sensibles a amigos suyos sin que ellos tuvieran nuestro consentimiento. Somos conscientes de que el contrato incluye legislación sobre privacidad, según las cuales se establece que proporcionarían documentos a los abogados pero este no es el caso y tenemos un correo electrónico a un amigo suyo indicando esto. (…)” Junto a la reclamación se aporta: - Contrato de fecha 15 de noviembre de 2018, firmado entre MY PERFECT WEDDING y A.A.A. y B.B.B., para la celebración de una boda. - Impresión de un correo electrónico enviado a info@myperfectwedding.eu el 18 de febrero de 2022 a las 16:21 hs, con el asunto “Re : My Perfect Wedding I A.A.A. & B.B.B. (previously C.C.C.)” y el siguiente contenido: “Dear Sirs We A.A.A. and B.B.B. of ***DIRECCIÓN.1 hereby make an access request under Article 15 of the General Data Protection Regulation (GDPR) 2016/679 for a copy of any information, documents or other information you have in relation to us, in electonic or manual form in relation to ourselves and our wedding arrangements held by you. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 I hereby authorise you to release all and any documents and information in relation to the aforementioned to us by way of email copies to ***EMAIL.1. Regards, Kind regards A.A.A.” (traducción no oficial: “Estimados Señores, Nosotros A.A.A. y B.B.B. de ***EMAIL.2 por la presente solicita el acceso por el artículo 15 del Reglamento General de Protección de Datos (RGPD) 2016/679 de una copia de cualquier información, documentos u otra información que posea en relación a nosotros, de forma electrónica o manual sobre nosotros y los arreglos de nuestra boda llevados a cabo por usted. Por la presente le autorizo a proporcionar todos y cada uno de los documentos e información sobre nosotros mediante copias al correo electrónico ***EMAIL.1. Saludos, Saludos cordiales A.A.A.” - Impresión de un correo electrónico enviado a planner@myperfectwedding.eu y a info@myperfectwedding.eu el 4 de marzo de 2022 a las 12:54 hs, en respuesta al anterior correo, con el asunto “FW: (***REFERENCIA.1) GDPR Access request” y el siguiente contenido: “Dear Sirs, We await hearing herein by return. Kind regards, A.A.A. and B.B.B.” (traducción no oficial: “Estimados Señores, Esperamos vuestra respuesta. Saludos cordiales, A.A.A. and B.B.B.” - Impresión de un correo electrónico desde dir@makingsolutionsgroup.com a ***EMAIL.3, recibido el 9 de marzo de 2022 a las 04:12 hs, con el asunto “Re: FW: (***REFERENCIA.1) GDPR Access request” y el siguiente contenido: “A.A.A., buenos días: Sirva la presente para hacerle constar que hemos recibido su solicitud de fecha 4 de marzo de 2022 para el acceso a los datos que constan en esta empresa en relación a usted y B.B.B.. Tenga en consideración que a partir de su solicitud, se abre un plazo legal de 30 días según se establece legalmente para este fin. Adjunto imagen con extracto de la ley para su conocimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 Haciendo un breve repaso de su solicitud, necesitamos para proceder que favor aclare/confirme lo siguiente: 1. Solicito usted que se haga por medios electrónicos, correcto? 2. Quiere que esa entrega se haga exclusivamente a su correo electrónico, ***EMAIL.3, correcto? 3. Pone usted en copia de su solicitud a ***EMAIL.4. Per favor confirme que esta dirección de correo pertenece a B.B.B. y que igualmente se refiere a C.C.C. con email ***EMAIL.5? Sin más a que referir, a la espera de sus aclaratorias para proceder.” - Impresión de un correo electrónico enviado desde ***EMAIL.3 a dir@makingsoIutionsgroup.com el 9 de marzo de 2022 a las 4:31 hs, en respuesta al anterior correo, con el siguiente contenido: “Dear Sir, I note your email, I am aware of the 30 day period and oblige. You might note that the request was originally sent on the 18th of February last. I reply in numerical order as follows: 1. You are correct the request should be made electronically. 2. You can make the request to both myself and B.B.B. if that would make you feel more comfortable; not that it is relevant to make it to both parties. The email addresses are as follows: ***EMAIL.1 and ***EMAIL.6 3. Yes you are correct B.B.B.’s private email address is ***EMAIL.7. For the record B.B.B.’s previous surname was C.C.C.. Not that it is relevant for the request herein. Thanking you in advance. Kind regards, A.A.A.” (traducción no oficial: “Estimado Señor, Tomo nota de su correo electrónico, estoy al tanto del período de 30 días y me comprometo. Tenga en cuenta que la solicitud fue enviada originalmente el 18 de febrero pasado. Respondo en orden numérico del siguiente modo: 1. Usted tiene razón, la solicitud debe hacerse electrónicamente. 2. Puedes hacer la petición tanto a mí como a B.B.B. si eso le es más cómodo; no es que sea pertinente hacerlo ante ambas partes. Las direcciones de correo electrónico son las siguientes: ***EMAIL.1 y ***EMAIL.6. 3. Sí tiene razón la dirección de correo electrónico privada de B.B.B. es ***EMAIL.7. Para que conste, el apellido anterior de B.B.B. era C.C.C.. No es que sea relevante para la presente solicitud. Gracias de antemano. Saludos cordiales, A.A.A.”) Con fecha 15 de junio de 2022 a las 10:49hs, desde la autoridad irlandesa de protección de datos se envió un correo electrónico a info@myperfectwedding.eu, planner@myperfectwedding.eu y dir@myperfectwedding.eu, solicitándole a MY PERFECT WEDDING información sobre si realiza tratamientos transfronterizos datos personales y cuál es el establecimiento principal de la empresa. El 15 de junio de 2022 a las 10:49hs, la autoridad irlandesa de protección de datos recibió un correo electrónico desde planner@myperfectwedding.eu, acusando recibo del anterior correo, pero sin obtener mayor respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 1 de noviembre de 2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) al día siguiente. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que MY PERFECT WEDDING tiene su establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, la autoridad de protección de datos de Irlanda actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra

  1. c)del RGPD, al ser la autoridad de control frente a la que se ha presentado la reclamación, sin que otras autoridades de control se hubieran declarado interesadas en el presente procedimiento. TERCERO: Con fecha 19 de enero de 2023, de conformidad con el artículo 64 entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR el 6 de noviembre de 2023, la entidad MAKING SOLUTIONS, S.L. (MY PERFECT WEDDING) (…) constituida en el año 2010, y con un volumen de negocios de ***CANTIDAD.1 euros en el año 2021. QUINTO: Con fecha 22 de diciembre de 2023, la Directora de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 27 de diciembre de 2023 se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, la autoridad de control de Irlanda presentó sus observaciones al citado proyecto de acuerdo de inicio de procedimiento sancionador, razón por la que el 24 de enero de 2024 la Agencia Española de Protección de Datos retiró la citada decisión del Sistema IMI. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante este plazo, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. SEXTO: Con fecha 9 de febrero de 2024, la Directora de la AEPD adoptó un nuevo proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las autoridades estaban de acuerdo con dicho proyecto revisado y estaban vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. SÉPTIMO: Con fecha 12 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MY PERFECT WEDDING, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD. Notificado el citado acuerdo de inicio conforme a las normas establecidas LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de MY PERFECT WEDDING. OCTAVO: Con fecha 10 de octubre de 2024, el órgano instructor del procedimiento dictó propuesta de resolución en la que se proponía se sancione a MAKING SOLUTIONS, S.L. (MY PERFECT WEDDING), con NIF B76509769, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 1.000,00 € y que por la Directora de la Agencia Española de Protección de Datos se le ordene que en virtud del artículo 58.2.
  2. d)del RGPD, en el plazo de un mes, acredite haber proporcionado debido acceso a sus datos personales a la parte reclamante Notificada la citada propuesta de resolución conforme a las normas establecidas LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de MY PERFECT WEDDING De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 15 de noviembre de 2018 MY PERFECT WEDDING y A.A.A. y B.B.B. celebraron un contrato para la celebración de una boda. SEGUNDO: El 18 de febrero de 2022 las 16:21 hs la parte reclamante envió un correo electrónico a info@myperfectwedding.eu, con el asunto “Re : My Perfect Wedding I A.A.A. & B.B.B. (previously C.C.C.)” y el siguiente contenido: “Dear Sirs C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 We A.A.A. and B.B.B. of ***DIRECCIÓN.1 hereby make an access request under Article 15 of the General Data Protection Regulation (GDPR) 2016/679 for a copy of any information, documents or other information you have in relation to us, in electonic or manual form in relation to ourselves and our wedding arrangements held by you. I hereby authorise you to release all and any documents and information in relation to the aforementioned to us by way of email copies to ***EMAIL.1. Regards, Kind regards A.A.A.” (traducción no oficial: “Estimados Señores, Nosotros A.A.A. y B.B.B. de ***EMAIL.2 por la presente solicita el acceso por el artículo 15 del Reglamento General de Protección de Datos (RGPD) 2016/679 de una copia de cualquier información, documentos u otra información que posea en relación a nosotros, de forma electrónica o manual sobre nosotros y los arreglos de nuestra boda llevados a cabo por usted. Por la presente le autorizo a proporcionar todos y cada uno de los documentos e información sobre nosotros mediante copias al correo electrónico ***EMAIL.1. Saludos, Saludos cordiales A.A.A.” TERCERO: El 4 de marzo de 2022 a las 12:54 hs la parte reclamante envió un correo electrónico a planner@myperfectwedding.eu y a info@myperfectwedding.eu, en respuesta al anterior correo, con el asunto “FW: (***REFERENCIA.1) GDPR Access request” y el siguiente contenido: “Dear Sirs, We await hearing herein by return. Kind regards, A.A.A. and B.B.B.” (traducción no oficial: “Estimados Señores, Esperamos vuestra respuesta. Saludos cordiales, A.A.A. and B.B.B.” - Impresión de un correo electrónico desde dir@makingsolutionsgroup.com a ***EMAIL.3, recibido el 9 de marzo de 2022 a las 04:12 hs, con el asunto “Re: FW: (***REFERENCIA.1) GDPR Access request” y el siguiente contenido: “A.A.A., buenos días: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 Sirva la presente para hacerle constar que hemos recibido su solicitud de fecha 4 de marzo de 2022 para el acceso a los datos que constan en esta empresa en relación a usted y B.B.B.. Tenga en consideración que a partir de su solicitud, se abre un plazo legal de 30 días según se establece legalmente para este fin. Adjunto imagen con extracto de la ley para su conocimiento. Haciendo un breve repaso de su solicitud, necesitamos para proceder que favor aclare/confirme lo siguiente: 1. Solicito usted que se haga por medios electrónicos, correcto? 2. Quiere que esa entrega se haga exclusivamente a su correo electrónico, ***EMAIL.3, correcto? 3. Pone usted en copia de su solicitud a ***EMAIL.4. Per favor confirme que esta dirección de correo pertenece a B.B.B. y que igualmente se refiere a C.C.C. con email ***EMAIL.5? Sin más a que referir, a la espera de sus aclaratorias para proceder.” CUARTO: El 9 de marzo de 2022 a las 4:31 hs se envió un correo electrónico desde ***EMAIL.3 a dir@makingsoIutionsgroup.com, en respuesta al anterior correo, con el siguiente contenido: “Dear Sir, I note your email, I am aware of the 30 day period and oblige. You might note that the request was originally sent on the 18th of February last. I reply in numerical order as follows: 1. You are correct the request should be made electronically. 2. You can make the request to both myself and B.B.B. if that would make you feel more comfortable; not that it is relevant to make it to both parties. The email addresses are as follows: ***EMAIL.1 and ***EMAIL.6 3. Yes you are correct B.B.B.’s private email address is ***EMAIL.7. For the record B.B.B.’s previous surname was C.C.C.. Not that it is relevant for the request herein. Thanking you in advance. Kind regards, A.A.A.” (traducción no oficial: “Estimado Señor, Tomo nota de su correo electrónico, estoy al tanto del período de 30 días y me comprometo. Tenga en cuenta que la solicitud fue enviada originalmente el 18 de febrero pasado. Respondo en orden numérico del siguiente modo: 1. Usted tiene razón, la solicitud debe hacerse electrónicamente. 2. Puedes hacer la petición tanto a mí como a B.B.B. si eso le es más cómodo; no es que sea pertinente hacerlo ante ambas partes. Las direcciones de correo electrónico son las siguientes: ***EMAIL.1 y ***EMAIL.6. 3. Sí tiene razón la dirección de correo electrónico privada de B.B.B. es ***EMAIL.7. Para que conste, el apellido anterior de B.B.B. era C.C.C.. No es que sea relevante para la presente solicitud. Gracias de antemano. Saludos cordiales, A.A.A.”) QUINTO: Con fecha 15 de junio de 2022 a las 10:49hs, desde la autoridad irlandesa de protección de datos se envió un correo electrónico a info@myperfectwedding.eu, planner@myperfectwedding.eu y dir@myperfectwedding.eu, solicitándole a MY PERFECT WEDDING información sobre si realiza tratamientos transfronterizos datos personales y cuál es el establecimiento principal de la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 El 15 de junio de 2022 a las 10:49hs, la autoridad irlandesa de protección de datos recibió un correo electrónico desde planner@myperfectwedding.eu, acusando recibo del anterior correo, pero sin obtener mayor respuesta. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR el 6 de noviembre de 2023, la entidad MAKING SOLUTIONS, S.L. (MY PERFECT WEDDING) (…) constituida en el año 2010, y con un volumen de negocios de ***CANTIDAD.1 euros en el año 2021. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que MY PERFECT WEDDING realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido y correo electrónico, entre otros tratamientos. MY PERFECT WEDDING realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que MY PERFECT WEDDING está establecida en España, si bien presta servicio a ciudadanos de otros países de la Unión Europea. III Integridad y confidencialidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 El artículo 5.1.
  3. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, en la reclamación presentada ante la autoridad irlandesa de protección de datos el 1 de abril de 2022, la parte reclamante indica que se le ha proporcionado sus datos sin su consentimiento a un tercero. No obstante, no se proporciona evidencia alguna para acreditar tal extremo junto con la citada reclamación. En enero de 2024 esta Agencia ha solicitado la colaboración de la autoridad irlandesa para pedirle a la parte reclamante que proporcione alguna evidencia que sustente la mencionada reclamación. No obstante, no se ha obtenido respuesta. Por todo lo expuesto, no ha podido acreditarse debidamente en el expediente que los datos personales de la parte reclamante hubieran sido comunicados de forma indebida a un tercero. Lo anterior ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En el presente caso, no consta que hubiera existido una comunicación no autorizada de los datos personales de la parte reclamante. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad” y determina al respecto que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el cual establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
  5. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, en lo que se refiere a una posible infracción del artículo 5.1.
  6. f)del RGPD, en el presente supuesto. IV Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  7. a)los fines del tratamiento;
  8. b)las categorías de datos personales de que se trate;
  9. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  10. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  11. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  12. f)el derecho a presentar una reclamación ante una autoridad de control;
  13. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  14. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." Por su parte, el artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD establece que: “(…)3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. (…)” En el presente caso, el 15 de noviembre de 2018 la parte reclamante había firmado un contrato con MY PERFECT WEDDING para la celebración de una boda. Y la parte reclamante solicitó ante MY PERFECT WEDDING acceso a sus datos personales mediante correo electrónico de fecha 18 de febrero de 2022, insistiendo el 4 de marzo de 2022 en que no había obtenido respuesta. El 9 de marzo de 2022 MY PERFECT WEDDING le responde preguntando si quiere que se facilite el acceso por medios electrónicos y en cuál correo electrónico. A este correo respondió la parte reclamante el 9 de marzo de 2022 indicando que quería recibir el acceso a sus datos mediante un determinado correo electrónico. Al menos hasta el 1 de abril de 2022 la parte reclamante no había recibido debida respuesta a su solicitud. Es decir, el plazo legal establecido para dar alguna respuesta a la solicitud de la parte reclamante sobre el acceso a sus datos personales se había visto superado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 No obstante, a efectos del plazo de prescripción de las infracciones, el artículo 74 de la LOPDGDD califica de leve la siguiente conducta: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 (…)” Por tanto, al haber transcurrido más de un año desde que MY PERFECT WEDDING debió dar alguna respuesta a la parte reclamante, la posible infracción del artículo 12 del RGPD estaría prescrita. Sin embargo, en la actualidad no consta acreditado que tal solicitud de acceso a los datos personales de la parte reclamante hubiera sido atendida, por lo que, de conformidad con las evidencias de las que se dispone en este momento de resolución, se considera que los hechos conocidos son constitutivos de una infracción, imputable a MY PERFECT WEDDING, por vulneración del artículo 15 del RGPD. V Tipificación y calificación de la infracción del artículo 15 del RGPD La citada infracción del artículo 15 del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  15. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  16. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  17. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  18. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  19. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1.” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  20. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” VI Propuesta de sanción por la infracción del artículo 15 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD permite fijar una sanción de multa administrativa de mil euros. VII Imposición de medidas De acuerdo con lo establecido en el citado artículo 58.2
  21. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”., se requiere a MY PERFECT WEDDING para que en el plazo de un mes notifique a esta Agencia la adopción de las siguientes medidas: que ha proporcionado debido acceso a sus datos personales a la parte reclamante. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución que ponga fin al presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a MAKING SOLUTIONS, S.L. (MY PERFECT WEDDING), con NIF B76509769, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 1000,00 euros (MIL euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 SEGUNDO: ORDENAR a MAKING SOLUTIONS, S.L. (MY PERFECT WEDDING), con NIF B76509769, que en virtud del artículo 58.2.
  22. d)del RGPD, en el plazo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber proporcionado debido acceso a sus datos personales a la parte reclamante. TERCERO: NOTIFICAR la presente resolución a MAKING SOLUTIONS, S.L. (MY PERFECT WEDDING). CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  23. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 8-101224 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.