1/5 Expediente N.º: EXP202212827 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: DOÑA A.A.A. (en adelante, la parte reclamante) con fecha 14 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DOÑA B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamada es ***PROFESIÓN.1. El ***FECHA.1 la parte reclamada creó un grupo de WhatsApp con el nombre "***GRUPO.1", incluyendo en el mismo a 255 participantes (encontrándose entre ellos la parte reclamante). La parte reclamante manifiesta que la parte reclamada dispone de sus datos (…). A su vez, indica que se le agregó al grupo sin recabar previamente su consentimiento, revelándose indebidamente su nombre y su número de teléfono a todos los participantes. Junto a la reclamación aporta un documento en el que consta el número de teléfono que creó el grupo y todos los números de las personas incorporadas al mismo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 12 de diciembre de 2022, como consta en el certificado que obra en el expediente. Se realizó un nuevo envío del documento de traslado de la reclamación mediante correo postal certificado, que fue devuelto por “desconocido”. TERCERO: Con fecha 14 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 CUARTO: Con fecha 31 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que manifestaba que, el ***FECHA.1, (…), creó un grupo abierto de WhatsApp entre sus contactos, y entre los que no figuraba la reclamante, con el nombre "***GRUPO.1"; (…). Además, en dicho escrito de alegaciones también hace referencia a que la parte reclamada (…). La reclamante le envió burofax con fecha 4 de marzo de 2021, para que se aviniera a sus pretensiones económicas, ya que en otro caso iniciaría un procedimiento ordinario de reclamación de cantidad al considerar que había incurrido en (…); procedimiento que en la actualidad se encuentra en trámite. SEXTO: Con fecha 31 de julio de 2023 se formuló propuesta de resolución, proponiendo se sancione a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 2.000 € (DOS MIL EUROS). SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que solicitaba se admitieran dichas alegaciones, y se acordara la finalización y archivo del expediente sin imposición de medidas ni sanción alguna. En dicho escrito de alegaciones, además de reproducir lo ya manifestado en el escrito de alegaciones al acuerdo de inicio, la parte reclamada insiste en (…). De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta acreditado en el expediente la creación de un grupo de WhatsApp con el nombre "***GRUPO.1", incluyendo en el mismo a 255 participantes. SEGUNDO: No consta en el expediente el previo consentimiento de los participantes para ser agregados a dicho grupo de WhatsApp. TERCERO: Consta acreditado en el expediente que dicho grupo de WhatsApp permitía revelar el número de todos los participantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros tratamientos, la recogida, conservación, utilización de los siguientes datos personales de sus clientes, dada su actividad profesional, tales como: nombre y apellidos, teléfono, dirección de correo electrónico…entre otros. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta acreditada la creación de un grupo de WhatsApp con el nombre "***GRUPO.1", incluyendo en el mismo a 255 participantes (encontrándose entre ellos la parte reclamante), sin recabarse previamente el necesario consentimiento y revelándose indebidamente el número de teléfono a todos los participantes. III Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de la parte reclamante fueron indebidamente expuestos por la parte reclamada; ya que creó un grupo de WhatsApp con el nombre "***GRUPO.1", incluyendo en el mismo a 255 participantes (encontrándose entre ellos la parte reclamante), revelándose indebidamente el número de teléfono de todos los participantes. No obstante, debe tenerse en cuenta el principio de culpabilidad exigido en el procedimiento sancionador. Así, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En este caso, los documentos presentados por la parte reclamada (…) eximen de toda culpabilidad o dolo y, en consecuencia, de toda responsabilidad por la comisión de la infracción. En este sentido, debe hacerse constar que la culpabilidad es el reproche que se hace a una persona por haber podido actuar de modo distinto a como realmente lo hizo. En otras palabras, la culpabilidad es expresión de no actuar conforme a Derecho (STS 5 de febrero de 1999). La apreciación de la culpabilidad en la conducta del sujeto infractor es una exigencia que surge directamente de los principios constitucionales de la seguridad jurídica y de legalidad en cuanto al ejercicio de potestades sancionadoras de cualquier naturaleza. El principio de culpabilidad constituye un elemento básico a la hora de calificar la conducta de una persona como sancionable, es decir, es un elemento esencial en todo ilícito administrativo, y es un principio que opera no sólo a la hora de analizar la conducta determinante de la infracción, sino también sobre las circunstancias agravantes (STJM de veintiocho de junio de 2023). Por ello y como ha declarado la jurisprudencia, si concurre una causa que excluye la culpabilidad o la responsabilidad del reclamado, no procede la imposición de una sanción, aunque el hecho infractor se haya producido, como han declarado nuestros Tribunales, entre otras la Sentencia de la Audiencia de 21/06/2023. En el presente caso, (…), no cabe duda que nos encontramos en un supuesto que excluye la culpabilidad, puesto que el (…) conlleva que la parte reclamada no se encontrase en situación de cumplir sus obligaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es