← España

PS-00048-2021

1/6  Procedimiento Nº: PS/00048/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. en nombre y representación de Dña. B.B.B. (en adelante, la reclamante) con fecha 5 de agosto de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la ASOCIACIÓN DE TRABAJADORES PENITENCIARIOS TU ABANDONO ME PUEDE MATAR con NIF G88300991 (en adelante, la reclamada). La reclamante manifiesta: “que el pasado 2 de agosto de 2018 la reclamada procedió a difundir por la red social Twitter una copia de una supuesta demanda de acto de conciliación que se le habría interpuesto a la reclamante. En dicha demanda se incluyen sus datos personales incluido el domicilio particular que no es un dato público ni accesible a terceros. Por su trabajo la reclamante es una persona pública, no así su domicilio, y la divulgación de dicho dato. La difusión de los datos ha sido masiva tal y como refleja el número de retuits y favoritos que tuit en cuestión”. Y, aporta entre otra la siguiente documentación: El documento publicado en Twitter, en el cual consta el domicilio particular de la reclamante. SEGUNDO: A la vista de los hechos manifestados, se trasladó, el 1 de octubre de 2019 y el día 14 del mismo mes y año, la reclamación para que la reclamada informara: 1. “La decisión adoptada a propósito de esta reclamación. 1. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 4. Cualquier otra que considere relevante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Así las cosas, con fecha 12 de octubre de 2019, el servicio de notificaciones electrónicas, devolvió la citada notificación, por haber expirado el plazo de puesta a disposición y el 8 de noviembre de 2019, fue devuelta por el servicio de correos, por no ser retirado dicho envío de la oficina de correos. TERCERO: Con fecha 18 de enero de 2021, la reclamada manifiesta: “que mis mandantes retiraron de su cuenta de Twitter el documento publicado de manera inmediata, no estando el mismo en la red más de 15 minutos, siendo publicado por error, error que una vez advertido motivo la retirada inmediata de la publicación, hecho que es fácilmente comprobable por la Agencia a la que me dirijo no quedando rastro de ninguna clase de redes, ni de los datos, ni del contenido de la conciliación publicada por error, hecho que motivo que la denunciante no sufriera ningún perjuicio”. CUARTO: Con fecha 18 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la ASOCIACIÓN DE TRABAJADORES PENITENCIARIOS TU ABANDONO ME PUEDE MATAR, por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5

  1. a)del RGPD en relación con el artículo 72.1
  2. b)de la LOPDGDD. QUINTO: El Acuerdo de Inicio de Procedimiento Sancionador, se notificó a la entidad reclamada electrónicamente siendo la fecha de puesta a disposición el 19 de febrero de 2021, tal como lo acredita el certificado expedido por la FNMT que obra en el expediente. SEXTO: Notificado formalmente el acuerdo de inicio, la reclamada ha presentado escrito de alegaciones el 4 de marzo de 2021, manifestando: “Debemos manifestar que mis mandantes retiraron de su cuenta de Twitter el documento publicado de manera inmediata, no estando el mismo en la red más de 15 minutos, siendo publicado por error, error que una vez advertido, motivo la retirada inmediata de la publicación, no quedando rastro de ninguna clase en las redes, ni de los datos, ni del contenido de la conciliación publicada por error, hecho que motivo que la denunciante no sufriera ningún perjuicio. Por ello, reconocidos los hechos y no teniendo ninguna sanción anterior, atendiendo al principio de proporcionalidad y gravedad de lo sucedido y la rápida corrección realizada solicitamos en aplicación del art. 148 del RGPD que la sanción quede en un apercibimiento, mostrando nuestro más profundo arrepentimiento por lo sucedido, no siendo nuestra intención la de causas perjuicios a nadie, ya que todo se debió a un error involuntario. Solicitamos: que tengan por reconocidos los hechos y si consideran que la actuación es reprochable, solicitamos que atendiendo a principios de gravedad y proporcionalidad la sanción que se nos imponga sea un Apercibimiento”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 HECHOS PROBADOS RIMERO: Consta que con fecha 2 de agosto de 2018 la reclamada procedió a difundir por la red social Twitter una copia de una supuesta demanda de acto de conciliación que se le habría interpuesto a la reclamante. En la citada demanda se incluyen los datos personales de la reclamante incluido su domicilio particular que no es un dato público ni accesible a terceros. Por su trabajo la reclamante es una persona pública, no así su domicilio, y la divulgación de dicho dato. La difusión de los datos ha sido masiva tal y como refleja el número de retuits y favoritos que tuit en cuestión. SEGUNDO: Con fecha 4 de marzo de 2021 la parte reclamada en su escrito de alegaciones reconoce los hechos y está de acuerdo con la sanción impuesta. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
  3. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  4. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
  6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  7. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III De conformidad con las evidencias de las que se dispone se considera probado que en fecha 2 de agosto 2018 la reclamada procedió a difundir por la red social Twitter una supuesta demanda de acto de conciliación que se le habría interpuesto a la reclamante donde figuraban sus datos personales incluso su domicilio particular. Por lo tanto, queda constatado que la reclamada difundió por la red social el domicilio particular de la reclamante, y por consiguiente es la responsable de la vulneración de la confidencialidad al difundir dicho dato, por lo que se considera que ha vulnerado el artículo 6.1 por un tratamiento ilícito de los datos personales de la reclamante, en relación con el artículo 5.1
  9. f)del RGPD, que rige los principios de integridad y confidencialidad de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. IV El artículo 83.5
  10. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 58.2 del RGPD indica:” Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
  11. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  12. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado.” Señala el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” No constan sanciones precedentes a la reclamada, la actividad del reclamado no es el tratamiento de datos habitual, ni pretendía la obtención de beneficios. La reclamada ha reconocido dicho error, y consta que retiró de su cuenta de Twitter el documento publicado de manera inmediata. V Notificado formalmente el acuerdo de inicio, la reclamada ha presentado escrito de alegaciones el 4 de marzo de 2021, manifestando: “Debemos manifestar que mis mandantes retiraron de su cuenta de Twitter el documento publicado de manera inmediata, no estando el mismo en la red más de 15 minutos, siendo publicado por error, error que una vez advertido, motivo la retirada inmediata de la publicación, no quedando rastro de ninguna clase en las redes, ni de los datos, ni del contenido de la conciliación publicada por error, hecho que motivo que la denunciante no sufriera ningún perjuicio. Por ello, reconocidos los hechos y no teniendo ninguna sanción anterior, atendiendo al principio de proporcionalidad y gravedad de lo sucedido y la rápida corrección realizada solicitamos en aplicación del art. 148 del RGPD que la sanción quede en un apercibimiento, mostrando nuestro más profundo arrepentimiento por lo sucedido, no siendo nuestra intención la de causas perjuicios a nadie, ya que todo se debió a un error involuntario. Solicitamos: que tengan por reconocidos los hechos y si consideran que la actuación es reprochable, solicitamos que atendiendo a principios de gravedad y proporcionalidad la sanción que se nos imponga sea un Apercibimiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda”. De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la ASOCIACIÓN DE TRABAJADORES PENITENCIARIOS TU ABANDONO ME PUEDE MATAR, con NIF G88300991, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
  13. a)del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a ASOCIACIÓN DE TRABAJADORES PENITENCIARIOS TU ABANDONO ME PUEDE MATAR, con NIF G88300991 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  14. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.