PS-00057-2023

1/16 Expediente N.º: EXP202302302 (PS/00057/2023) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 7 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra WILLOUGHBY COLLEGE, S.A. con NIF A28407518 (en adelante, WILLOUGHBY COLLEGE). Los motivos en que basa la reclamación son los siguientes: Reclamación relacionada con el envío de correos electrónicos a una pluralidad de destinatarios sin utilizar la funcionalidad CCO, lo que implica la revelación de las direcciones de los destinatarios. El remitente es el colegio en el que cursa estudios el hijo del reclamante, según manifiesta este, que aporta copia de tres mensajes de fechas 6/11/2020, 22/12/2021 y 17/5/22 respectivamente. El reclamante manifiesta que, con anterioridad, al menos en dos ocasiones (noviembre de 2020 y diciembre de 2021), ya advirtió al responsable que no debía volver a enviar mensajes revelando datos de terceros (la revelación se limita a la dirección de email, ya que el contenido de los mensajes aportados son anuncios de eventos a celebrar en el colegio). Fecha en la que tuvieron lugar los hechos reclamados: 6/11/2020, 22/12/2021 y 17/5/2022. Junto a la notificación se aporta: - Correo electrónico de fecha 6/11/2020 remitido desde la dirección ***EMAIL.1, dirigido a 48 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, con el asunto “Visita granja escuela”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. Aporta también la respuesta del reclamante a este correo electrónico con la misma fecha y solicitando explicaciones del motivo por el que se ha facilitado su dirección de correo electrónico al resto de los destinatarios. - Correo electrónico de fecha 22/12/2021 remitido desde la dirección ***EMAIL.2, dirigido a 31 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, con el asunto “¡Merry Christmas!”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. Aporta también la respuesta de la parte reclamante a este correo electrónico con la misma fecha manifestando su desacuerdo en que se facilite su dirección de correo electrónico al resto de los destinatarios y solicitando que no vuelva a ocurrir. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 - Correo electrónico de fecha 17/5/2022 remitido desde la dirección ***EMAIL.2, dirigido a más de 100 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, con el asunto “Summer Show”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. SEGUNDO: Por parte de la Agencia Española de Protección de Datos, se dio traslado de dicha reclamación a WILLOUGHBY COLLEGE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14/07/2022 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 7 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Se ha comprobado por la inspección de datos que, según consta en el “Aviso Legal” de la página de internet wic.edu.es, este dominio es titularidad de la entidad WILLOUGHBY COLLEGE, S.A. Se ha requerido por la inspección de datos al WILLOUGHBY COLLEGE, mediante notificaciones electrónicas remitidas en las fechas 21/9/2022 y reiterada el 19/12/2022 la siguiente información y documentación: “1.- Descripción detallada y cronológica de los hechos ocurridos. 2.- Especificación detallada de las causas que han hecho posible la brecha incluyendo información respecto de las condiciones que se dieron para que se hayan producido los hechos relatados. 3.- Posibles consecuencias para los afectados. 4.- Información respecto de si tiene conocimiento de la utilización por terceros de los datos personales obtenidos a través de la brecha, en cuyo caso, documentación que obre en su entidad al respecto. 5.- Información respecto de la comunicación realizada a los afectados. Aportar copia de la notificación remitida y del procedimiento de remisión, en su caso. 6.- Respecto de la seguridad de los tratamientos de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 6.1. Copia de los Análisis de riesgo (AR) realizados, en su caso, sobre la actividad de tratamiento que ha sufrido la brecha de seguridad con anterioridad a la incidencia acaecida. 6.2. Detalle y acreditación documental de las medidas de seguridad implementadas con anterioridad al incidente con relación a la brecha de seguridad 6.3. Información respecto del motivo por el cual las medidas de seguridad implantadas no han impedido el incidente de seguridad. 6.4. Detalle y acreditación documental de las medidas técnicas y organizativas adoptadas o modificadas para evitar, en lo posible, incidentes de seguridad como el sucedido. 7.- Motivo por el cual no se ha notificado la brecha a la Agencia Española de Protección de Datos antes de las 72 horas desde que sucediera. 8.- Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. 9.- Cualquier otra que considere relevante.” El requerimiento de información y su reiteración fueron retirados por el destinatario el mismo día en que fueron puestas a su disposición a través del servicio de Dirección Electrónica Habilitada Única, los días 21/9/2022 y 19/12/2022 respectivamente. CONCLUSIONES  La parte reclamante aporta copia de 3 correos electrónicos de fechas 6/11/2020, 22/12/2021 y 17/5/2022 respectivamente que manifiesta haber recibido en su buzón de correo electrónico. Dichos correos han sido remitidos desde el dominio wic.edu.es y han sido enviados a una pluralidad de destinatarios con las direcciones de correo electrónico visibles a todos ellos, incluida la del reclamante (***EMAIL.3).  El dominio wic.edu.es es titularidad de WILLOUGHBY COLLEGE, S.A.  De conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales se dio traslado de la reclamación al reclamado, para que procedan al análisis de esta y a dar respuesta en el plazo de un mes. La notificación fue recogida por el destinatario con fecha 8/7/2022 sin que se haya obtenido respuesta, por lo que la reclamación fue admitida a trámite.  Se ha requerido por la inspección de datos, en dos ocasiones, información y documentación al reclamado en relación con los hechos reclamados mediante notificación electrónica que ha sido retirado por el destinatario, no habiendo obtenido respuesta.  Se desconoce las medidas de seguridad implantadas por el reclamado, responsable del tratamiento, con anterioridad a los hechos reclamados y las medidas adoptadas con posterioridad a los mismos. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad WILLOUGHBY COLLEGE, S.A. es una pequeña empresa constituida en el año 1975, con un volumen de negocios de XXXXXXX euros en el año 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 SEXTO: Con fecha 27 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a WILLOUGHBY COLLEGE, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 5.1.

1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, y por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a WILLOUGHBY COLLEGE conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 5 de julio de 2023, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 7 de julio de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de WILLOUGHBY COLLEGE en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que había realizado el pago voluntario de la sanción del EXP. 202302302, y que esta Agencia había dictado resolución de terminación del procedimiento por pago voluntario. OCTAVO: Con fecha 6 de septiembre de 2023, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a WILLOUGHBY COLLEGE, con NIF A28407518, por una infracción del artículo 5.1.
2. f)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 5.500 € (cinco mil quinientos euros), y por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 500 € (quinientos euros). Esta propuesta de resolución, que se notificó a WILLOUGHBY COLLEGE conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 15 de septiembre de 2023, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 27 de septiembre de 2023, se recibe en esta Agencia, en tiempo y forma, escrito de WILLOUGHBY COLLEGE en el que aduce alegaciones a la propuesta de resolución en el que, en síntesis, manifestaba la existencia de una imposibilidad técnica de aportar documentación a los requerimientos de información formulados por esta Agencia en las actuaciones previas de investigación, alegando el pago voluntario de la sanción y, por último, aportan un escrito enumerando las actuaciones llevadas a cabo tras recibir la reclamación y solicitud de información . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 6 de noviembre de 2020 desde la dirección de correo electrónico ***EMAIL.1, se envió un mensaje dirigido a 48 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, ***EMAIL.3 con el asunto “Visita granja escuela”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. Ese mismo día, en respuesta al correo a que se refiere el párrafo anterior, la parte reclamante, desde la dirección ***EMAIL.3, envía un correo electrónico a ***EMAIL.1, con copia a ***EMAIL.4, con el siguiente mensaje: “Muy señores míos, Ruego me expliquen el porqué han hecho pública mi dirección de correo electrónico y se la han facilitado a un grupo de personas. Es un dato personal confidencial y ahora está en manos de otras personas que ya me han escrito. No solamente ustedes han tenido durante años a mi (…) con los apellidos invertidos sin comprobar lo que decía el Registro Civil sino que ahora tenemos una nueva vulneración de la normativa de protección de datos. Atentamente A.A.A.” SEGUNDO: Con fecha 22 de diciembre de 2021 es remitido desde la dirección ***EMAIL.2 un correo electrónico dirigido a 31 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, con el asunto “¡Merry Christmas!”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. Con fecha 23 de diciembre de 2021, en respuesta al correo a que se refiere el párrafo anterior, la parte reclamante, desde la dirección ***EMAIL.3, envía un correo electrónico a ***EMAIL.2, con copia a ***EMAIL.4, con el siguiente mensaje: “Estimada XXXXX, Le agradezco mucho su correo electrónico. No obstante, como ya indiqué al colegio en ocasiones anteriores, no pueden Vds. enviar correos electrónicos sin usar CCO, ya que están compartiendo una vez más las direcciones personales de los padres sin su consentimiento. Desde luego el mío no lo tienen. Espero que esta situación no se produzca más, aunque viendo la reiteración del comportamiento, me temo que seguiremos así indefinidamente. Un cordial saludo” TERCERO: Con fecha 17 de mayo de 2022 es remitido desde la dirección ***EMAIL.2 un correo electrónico dirigido a más de 100 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, ***EMAIL.3, con el asunto “Summer Show”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que WILLOUGHBY COLLEGE realiza la recogida, conservación y comunicación de, entre otros, los siguientes datos personales de personas físicas: apellidos y correo electrónico, entre otros tratamientos. WILLOUGHBY COLLEGE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
3. f)del artículo 5 del RGPD. Por su parte, la seguridad del tratamiento de los datos personales viene regulada en los artículos 32 del RGPD. III Contestación a las alegaciones aducidas al acuerdo de inicio y a las alegaciones aducidas a la propuesta de resolución A) Con relación a las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por WILLOUGHBY COLLEGE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 1.- Haber el realizado el pago de la sanción. Respecto a esta alegación cabe señalar que el pago realizado por WILLOUGHBY COLLEGE con fecha 24 de marzo de 2023 se corresponde con la sanción impuesta en el EXP202302302 (PS/00083/2023), con motivo de la comisión de la infracción prevista en el artículo 83.5.
4. e)del RGPD, “el no facilitar acceso en incumplimiento del artículo 58, apartado 1”. El artículo 58.1 del RGPD atribuye a cada autoridad de control los siguientes poderes de investigación: “
5. a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
6. b)llevar a cabo investigaciones en forma de auditorías de protección de datos;
7. c)llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
8. d)notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento;
9. e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
10. f)obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros”. Según la resolución del PS/00083/2023, WILLOUGHBY COLLEGE no contestó a los dos requerimientos de información formulados por esta Agencia: “…En el marco de las actuaciones de investigación, se remitieron a la parte reclamada dos requerimientos de información, relativos a la reclamación reseñada en el apartado primero, para que en el plazo de diez días hábiles y cinco días hábiles respectivamente, presentase ante esta Agencia la información y documentación que en ellos se señalaban. El primero de ellos fue registrado de salida en fecha 21 de septiembre de 2022 mientras que el segundo, se registró en fecha 9 de diciembre de 2022. TERCERO: Los requerimientos de información, que se notificaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron recogidos por la parte reclamada con fechas 30 de septiembre de 2022 y 9 de diciembre de 2022, como consta en los certificados de Notific@ que obran en el expediente. CUARTO: Respecto a la información requerida, la parte reclamada no ha remitido respuesta alguna a esta Agencia Española de Protección de Datos.” En el PS/00083/2023 se fijó inicialmente una multa administrativa de 1.500 €, importe al que, aplicándole la reducción por el pago voluntario de la sanción, acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, quedaba en un importe de 900 €. Esta cantidad fue abonada por WILLOUGHBY COLLEGE, tal y como se justifica en sus alegaciones. Con independencia de la incoación del procedimiento PS/00083/2023, esta Agencia ha estimado procedente iniciar un procedimiento sancionador con motivo de los hechos recogidos en la reclamación formulada por la parte reclamante, en los que WILLOUGHBY COLLEGE es el presunto responsable de la comisión de dos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 infracciones, una del artículo 5.1.
11. f)del RGPD, y otra del artículo 32 del RGPD, por lo que, con fecha 27 de junio de 2023 la Directora de esta Agencia dictó acuerdo de inicio de procedimiento sancionador, PS/00057/2023. En consecuencia, el pago de la sanción a que se refiere WILLOUGHBY COLLEGE en su alegación, como causa de terminación del procedimiento sancionador prevista en el artículo 85 de la LPACAP por el pago voluntario por el presunto responsable, es aplicable al PS/00083/2023, no al presente procedimiento sancionador (PS/00057/2023). Por todo lo expuesto, se desestima la presente alegación. B) Con relación a las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por WILLOUGHBY COLLEGE: - Imposibilidad técnica de aportar documentación a los requerimientos de información formulados por esta Agencia en las actuaciones previas de investigación Según WILLOUGHBY COLLEGE, su personal intentó en varias ocasiones enviar la documentación en respuesta al requerimiento de información formulado por esta Agencia, pero, debido a un problema con la firma electrónica, no pudo presentar dicha documentación a través del registro electrónico, por lo que finalmente decidió enviarla mediante correo electrónico, pese a que desde esta Agencia se le informó que no era un medio válido de presentación de la documentación. Por último, WILLOUGHBY COLLEGE afirma: “Llegados a esta situación y no sabiendo cómo actuar, lo dejamos pasar hasta que nos llegó el inicio del procedimiento sancionador el 16 de marzo de 2023 con nº de expediente: EXP202302302.” Con este argumento, WILLOUGHBY COLLEGE no rebate los hechos objeto de reclamación y que motivaron la incoación del presente procedimiento, sino que se refiere a cuestiones de hecho que tuvieron lugar en actuaciones realizadas por esta Agencia con carácter previo, concretamente, a la imposibilidad de presentar documentación a través del registro electrónico para atender los requerimientos de información realizados por esta Agencia. Tal y como se le informó a WILLOUGHBY COLLEGE en los requerimientos de información formulados por esta Agencia, el incumplimiento de la obligación legal de atender a dichos requerimientos podía comportar la comisión de una infracción tipificada en el art. 72.1.ñ) de la LOPDGDD, sancionable de acuerdo con el art. 58.2 del RGPD, por lo que, ante la falta de respuesta por WILLOUGHBY COLLEGE al requerimiento de información de 21 de septiembre de 2022, así como a la reiteración de dicho requerimiento, de fecha 9 de diciembre de 2022, se dictó acuerdo de incoación de procedimiento sancionador (PS/00083/2023), el cual finalizó mediante resolución de terminación del procedimiento por pago voluntario de la sanción y reconocimiento de la responsabilidad sobre los hechos por parte de WILLOUGHBY COLLEGE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 Por todo lo expuesto, se desestima la presente alegación. -La propuesta de resolución está basada en que, según la resolución del PS/00083/2023, WILLOUGHBY COLLEGE no había contestado a los requerimientos de información de septiembre y diciembre del año 2022, habiendo reconocido su error, procediendo al pago voluntario de la sanción Como ya se argumentó en la contestación a las alegaciones presentadas por WILLOUGHBY COLLEGE al Acuerdo de Inicio, los hechos que motivaron la incoación del procedimiento PS/00083/2023 fueron la falta de atención de dos requerimientos de información realizados por esta Agencia (“El primero de ellos fue registrado de salida en fecha 21 de septiembre de 2022 mientras que el segundo, se registró en fecha 9 de diciembre de 2022”). Sin embargo, el procedimiento sancionador PS/00057/2023 tiene por objeto determinar la responsabilidad administrativa de los hechos recogidos en la reclamación formulada por la parte reclamante, en los que WILLOUGHBY COLLEGE es el presunto responsable de la comisión de dos infracciones, una del artículo 5.1.
12. f)del RGPD, al haberse vulnerado la confidencialidad de los datos personales de los padres de los alumnos en los tratamientos realizados por WILLOUGHBY COLLEGE por el envío de correos electrónicos a una pluralidad de destinatarios sin usar la funcionalidad con copia oculta, y otra del artículo 32 del RGPD, por la ausencia de medidas técnicas y organizativas apropiadas que garanticen la confidencialidad de los datos. En consecuencia, el reconocimiento de responsabilidad y pago voluntario de la sanción realizado por WILLOUGHBY COLLEGE con fecha 22 de marzo de 2023, no se refiere a este procedimiento (PS/00057/2023), cuya fecha del acuerdo de inicio (27 de junio de 2023) es posterior a dicho pago, sino al PS/00083/2023. Por todo lo expuesto, se desestima la presente alegación. - El contenido de los correos electrónicos no contenía información de una “gravedad extraordinaria”. En respuesta a este argumento, cabe resaltar que el principio de confidencialidad tiene como finalidad evitar que se realicen filtraciones de datos personales, en este caso, el correo electrónico, nombre y apellidos de los padres de los alumnos destinatarios de los mensajes remitidos por WILLOUGHBY COLLEGE, teniendo como causa no utilizar la funcionalidad “CCO” (“con copia oculta”) en el envío de los mensajes, por lo que el contenido de los correos no determina la existencia o no de responsabilidad respecto a los hechos constitutivos de las infracciones imputadas a WILLOUGHBY COLLEGE. Por todo lo expuesto, se desestima la presente alegación. - Actuaciones llevadas a cabo tras recibir la reclamación y solicitud de información WILLOUGHBY COLLEGE alega que, desde el mes de junio de 2022, adoptó medidas para evitar filtraciones de datos personales como la ocurrida en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 Como respuesta a esta alegación, cabe señalar que tales medidas, reseñadas en el documento de fecha 18 de julio de 2022 adjunto a las alegaciones, no se llevaron a cabo hasta que esta Agencia dio traslado de la reclamación a WILLOUGHBY COLLEGE, por lo que no tienen carácter espontáneo, ni siquiera responden a la comunicación realizada por la parte reclamante con carácter previo a la interposición de la reclamación. Por todo lo expuesto, se desestima la presente alegación. IV Principio de integridad y confidencialidad El artículo 5.1.f), “Principios relativos al tratamiento”, del RGPD establece: “1. Los datos personales serán: (…)
13. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, la documentación obrante en el expediente ofrece indicios evidentes de que WILLOUGHBY COLLEGE vulneró el artículo 5.1.
14. f)del RGPD, cuando, hasta en tres ocasiones (6/11/2020, 22/12/2021 y 17/5/2022), desde un correo electrónico con el dominio “wic.edu.es”, titularidad de la entidad WILLOUGHBY COLLEGE, se remitieron correos electrónicos a una pluralidad de destinatarios sin utilizar la opción de copia oculta, vulnerando la confidencialidad en el tratamiento de los datos de carácter personal. El principio de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no consentidas por los titulares de estos. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a WILLOUGHBY COLLEGE, por vulneración del artículo 5.1.
15. f)del RGPD. V Tipificación y calificación de la infracción del artículo 5.1.
16. f)del RGPD la citada infracción del artículo 5.1.
17. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
19. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
20. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como circunstancia agravante de la responsabilidad: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): La parte reclamante advirtió a WILLOUGHBY COLLEGE al menos en dos ocasiones, mediante correos electrónicos de fecha 06/11/2020 y 23/12/2021 obrantes en el expediente, la vulneración de la confidencialidad al enviar correos electrónicos a una pluralidad de destinatarios sin usar la función “CCO”. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
21. f)del RGPD, permite imponer una sanción de 5.500 € (cinco mil quinientos euros) VII Medidas de seguridad El Artículo 32 “Seguridad del tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
22. a)la seudonimización y el cifrado de datos personales;
23. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, la documentación obrante en el expediente ofrece indicios evidentes de que WILLOUGHBY COLLEGE ha vulnerado el artículo 32 del RGPD, al no tener medidas ni organizativas ni de seguridad adecuadas ni inicialmente ni como consecuencia de los avisos enviados por la parte reclamante en la que le advertía de lo que se estaba produciendo. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “