PS-00065-2020

1/14  Procedimiento Nº: PS/00065/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: En fecha 27/06/2019 tiene entrada en la Agencia Española de Protección de Datos (AEPD) una reclamación presentada por Don A.A.A. (en lo sucesivo, el reclamante) contra la asociación CIEGOS ESPAÑOLES CATÓLICOS ORGANIZADOS con NIF R5000907E (en lo sucesivo la reclamada o CECO). La reclamación versa sobre el formulario de solicitud para el alta y baja de sus asociados que CECO comenzó a utilizar en 2019. Este formulario, que fue aprobado por la Junta Directiva de la entidad reclamada, en opinión del reclamante, miembro de la asociación, no se adecúa a la normativa de protección de datos de carácter personal. Añade el reclamante que el formulario de solicitud de alta empleado en 2018 tampoco era respetuoso con las normas que regulan el derecho a la protección de datos de carácter personal, y pide a la AEPD que “inste a CECO a elaborar un modelo de solicitud de alta y baja de socios que cumpla con la legislación española en materia de protección de datos de carácter personal y de derechos de imagen”. Aporta con su reclamación una copia de los siguientes documentos: - Como anexo 1, un ejemplar del formulario de solicitud de alta, que lleva el anagrama de la asociación reclamada, y en el que, bajo la rúbrica “Solicitud de alta en CECO” “Documento a la atención del Secretario de la asociación de Ciegos Españoles Católicos (CECO)”, incluye espacios para los datos identificativos de una persona, en particular los relativos al nombre, apellidos, NIF y a la Diócesis a la que pertenece. Posteriormente, el documento indica que la persona así identificada “solicita por el presente documento pertenecer como miembro de la asociación de Ciegos Españoles Católicos (CECO). A continuación, dice: “Seguidamente se procede a dar los datos necesarios para la inscripción”. Estos datos son la dirección postal, con indicación de la localidad, provincia y código postal; la fecha de nacimiento; los teléfonos fijo y móvil, la dirección electrónica y el “sistema de lectoescritura”. (El subrayado es de la AEPD) En párrafo independiente incluye esta leyenda: “El solicitante de esta inscripción, tiene constancia que los datos que se reflejan en esta inscripción serán manipulados por la asociación de Ciegos Españoles Católicos (CECO) la cual se hace responsable del buen uso de los mismos”. Y añade: “..., autoriza a la asociación de Ciegos Españoles Católicos (CECO) a poder manipular su imagen en cualquier acto que la asociación realice y que tiene consciencia que ese material (Grabaciones, fotos, videos…) formará parte del archivo de la asociación”. Debajo se recaba la “Firma del solicitante”. - Como anexo II aporta una copia del formulario de solicitud de alta que la recla- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 mada utilizó en el año 2018. Con la rúbrica “Ficha de miembro de CECO” se recogen los siguientes datos: la Diócesis de la que es miembro; las fechas de alta y baja; el nombre y apellidos; el domicilio, con indicación de la localidad, provincia y C.P.; los teléfonos fijo y móvil; el DNI; el correo electrónico; la fecha de nacimiento; la profesión y la discapacidad que sufre la persona. Seguidamente se incluye esta leyenda y debajo de ella se solicita la firma del interesado: “Protección de Datos. En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, se informa que los datos personales obtenidos mediante la cumplimentación de este formulario van a ser incorporados, para su tratamiento, en un fichero automatizado. De acuerdo con lo previsto en la citada Ley Orgánica el interesado/a puede ejercitar los derechos de acceso, rectificación, cancelación y oposición de los datos obtenidos en el presente formulario en cualquier momento.” SEGUNDO: A la vista de la reclamación, la AEPD, en el marco del expediente E/ 8567/2019, mediante escrito de fecha 26/09/2019, dio traslado de ella a la reclamada y le solicitó información sobre los hechos denunciados. La notificación se efectuó a través de correo postal. El documento de la S.E. Correos y Telégrafos, S.A.E., “Prueba de entrega”, que obra en el expediente, acredita que la reclamada recibió la notificación el 01/10/2019. El 09/10/2019 tiene entrada en la AEPD la respuesta de la reclamada con la que anexa nueve documentos. Declara que, como puede comprobarse “ha procurado en todo momento acomodarse a aquello que la legislación exigía en cada caso”, de ahí que haya sido “necesario redactar una nueva solicitud acorde con la nueva norma y pedir a todos los miembros ya inscritos en CECO la firma de la nueva solicitud”. Los documentos remitidos son los siguientes: a.- Como anexo 1, la “Ficha de miembro de CECO”, documento que también aportó el reclamante y que se ha descrito en el Antecedente primero anexo II, descripción que damos por reproducida. b.- Como anexo 2, se aporta un documento que la reclamada identifica como “el nuevo modelo de solicitud de alta realizado tras la aprobación de la Ley de protección de datos de 2018…”. Este documento es el mismo que remitió el reclamante y que se describe en el Antecedente Primero como anexo I; descripción que damos aquí por reproducida. c.- El anexo 3 es la carta de bienvenida que la reclamada manifiesta que envía a los nuevos asociados. De este documento, transcribimos por su interés los párrafos antepenúltimo y penúltimo: “Al rellenar la solicitud de inscripción …nos distes permiso para manipular tus datos, imagen, sonido...todo ello lo puedes modificar cuando lo creas conveniente o sufra alguna alteración”. “A la hora de cualquier comunicación con nosotros dispones de los siguientes canales. Correo electrónico: Secretaria@ceco.org.es. Teléfono corporativo…” d.- El anexo 4 recoge la consulta que el presidente de la asociación reclamada dirigió al Gabinete Jurídico de la AEPD en abril de 2019. La consulta se formuló en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 siguientes términos y no consta en esta Agencia que con el referido escrito la reclamada hubiera remitido al Gabinete Jurídico de la AEPD algún documento anexo: “Una persona física que no firme el documento que permite que la asociación pueda utilizar sus datos ¿puede ser miembro de pleno derecho de dicha asociación?”. e.- El anexo 5 se corresponde con el Informe que emitió la AEPD respondiendo a la consulta de la reclamada. f.- Identificado como anexo 6 se aporta el escrito de fecha 21/06/2019 que el ***CARGO.1 (…) dirigió a la Junta Directiva de la asociación reclamada exponiendo las irregularidades apreciadas en el formulario que debe cumplimentar quien pretende ser admitido como asociado, en síntesis, las siguientes: (

1. i)el documento no informa de forma expresa e inequívoca de la existencia de un fichero o tratamiento de datos ni de la finalidad de la recogida.(
2. ii)en él no se garantiza el derecho que asiste al socio a acceder, rectificar, cancelar u oponerse al tratamiento de sus datos a tenor de la LOPD y norma reglamentaria de desarrollo. (iii) no consta en el documento la identidad y la dirección del responsable del tratamiento. (
3. iv)no informa de que, en ninguna circunstancia se cederán los datos del socio sin el preceptivo y expreso consentimiento del titular de los datos. (
4. v)no se establece un procedimiento sencillo y gratuito para que el asociado revoque el consentimiento. (
5. vi)el consentimiento para el tratamiento de la imagen tiene que hacerse en un documento distinto de aquel en el que se consiente el tratamiento de sus datos personales, solicitando la autorización en cada caso. g.- Anexo 7: Escrito del ***CARGO.2 dirigido al ***CARGO.1 a través del que acusa recibo de su escrito. h.- El anexo 8 es la carta, de fecha 04/10/2019 dirigida al ***CARGO.1 que, en respuesta al escrito que presentó el 21/06/2019, le remitió el ***CARGO.2 a tenor de los acuerdos adoptados por la Junta General los días 2 y 3 de octubre de 2019. En la carta se afirma que “…tras la consulta elevada …a la Agencia de Protección de Datos, que ha sido respondida el 8 de mayo de 2019, no puede más que concluirse que el documento de alta en CECO es plenamente lícito ya que claramente se nos indica que: <<En consecuencia, el tratamiento de datos personales planteado, será lícito de acuerdo con lo establecido en el apartado 1b) del artículo 6 del RGPD, al tratarse de una asociación y en la medida en que cada socio ingrese en la forma legalmente establecida>>”. La reclamada concluye en ese escrito que no puede hablarse de anomalías en el documento de alta de CECO pues, dice, “la Agencia de Protección de Datos ha declarado lícito todo el procedimiento”. i.- El último documento aportado (anexo 9) es “el nuevo modelo de solicitud de alta” -esto es, el modelo aprobado en el año 2019 sobre el que versa la presente reclamación- “cumplimentado y firmado por D. A.A.A.”. Según explicaciones de la reclamada este documento fue entregado en nombre del reclamante por otro miembro de la asociación el 28/04/2019. Añade además que el reclamante es miembro de CECO desde el 06/04/2018. TERCERO: A la vista de la documentación en poder de la AEPD, remitida tanto por el reclamante como por la reclamada, de conformidad con lo dispuesto en el artículo 65.5 de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Digitales (LOPDGDD), en fecha 26/02/2020 se acuerda admitir a trámite la presente reclamación. CUARTO: Con fecha 3 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 de la citada norma. QUINTO: Notificado el acuerdo de inicio, la reclamada, en fecha 11/06/2020, presentó escrito de alegaciones manifestando lo siguiente: “PRIMERA.- Que CECO es una asociación sin ánimo de lucro dedicada fundamentalmente a la promoción espiritual y moral de las personas con discapacidad visual, atendiendo a personas ciegas enfermas o ingresadas en residencia. CECO desde su constitución ha dedicado sus mejores esfuerzos y voluntades al cumplimiento de la normativa que pudiera resultar aplicable en los diversos ámbitos, incluido la protección de datos personales, habiendo realizado de buena fe todas las actuaciones que ha considerado necesarias para salvaguardar los derechos de sus miembros y dar cumplimiento a la normativa aplicable, contando a efectos de la realización de dicha actividad con medios que han resultado ser claramente insuficientes y muy limitados. Prueba de la afirmación, como indica la Resolución, es la circunstancia de que el anterior Presidente de la asociación dirigió una consulta al Gabinete Jurídico de la AEPD en abril de 2019, que fue oportunamente respondida. SEGUNDA.- Que una vez que tuvo conocimiento de la reclamación presentada, con fecha 27 de junio de 2019, en la Agencia de Protección de Datos por uno de sus asociados, dirigió respuesta a este organismo acreditando que dichas solicitudes destinadas a la obtención de datos de sus asociados se habían modificado al objeto de que su contenido fuera acorde con la nueva norma con intención de enviar a todos los miembros ya inscritos en CECO autorización para el tratamiento de sus datos personales. TERCERA.- Que no obstante lo anterior, presentado dicho escrito ante la Agencia Española de Protección de Datos, se realizó una consulta a una persona especializada en tales cuestiones quién colaboró en la redacción de un nuevo modelo de ficha destinada a solicitar los datos personales de todas aquellas personas que manifestarán su deseo de pasar a formar parte de la asociación. CUARTA.- Que con fecha 3 de diciembre de 2019, dicha ficha en su nueva redacción dando cumplimiento a lo señalados en el artículo 13 del RGPD fue remitida a todos los coordinadores de CECO con el fin de obtener su consentimiento expreso tanto respecto del tratamiento de los datos personales como en lo que se refiere a las imágenes. Se adjunta al presente escrito como documento Anexo nº 1 correo electrónico remitido y como documento Anexo nº 2 modelo de ficha que acompaña al citado correo. QUINTA.- Que elaboradas estas nueva ficha se ha subsanado toda posible omisión de la información detallada en el artículo 13 del RGPD y de la que pudiera derivar un incumplimiento del citado artículo 13. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 SEXTA.- Que, no obstante lo anterior, la Resolución recibida que da inicio al procedimiento sancionador menciona cuestiones que se han considerado relevantes de cara a incrementar aún más la transparencia del tratamiento de los datos solicitados a los miembros de la asociación:
6. a)La validez del particular negocio jurídico en virtud del cual se adquiere la condición de asociado exige que quien vaya a serlo conozca y acepte previamente los Estatutos de la asociación. En consecuencia, el tratamiento de datos personales planteados será licito de acuerdo con lo establecido en el apartado 1.
7. b)del artículo 6 del RGPD al tratarse de una asociación y en la medida en cada socio ingrese de la forma legalmente establecida en la organización aceptando los correspondientes estatutos. (Ver pág 8 de la Resolución).
8. b)Inclusión del número de identificación fiscal de CECO.
9. c)Referencia en la propia ficha a las consecuencias derivadas de la no autorización por parte del solicitante al tratamiento de sus datos personales. En base a lo anterior, se ha elaborado una nueva ficha adjunta a este escrito como Anexo nº 3 que será utilizada en el futuro. SEPTIMA. – Que reconoce que el formulario de solicitud de alta objeto de la reclamación que da inicio a este procedimiento sancionador, no facilitaba toda la información exigida por el artículo 13 del RGPD, pero que como se ha expuesto en los apartados anteriores esta asociación ha realizado con posterioridad notables esfuerzos para su adaptación a efectos del cumplimiento de todos y cada uno de los requisitos detallado en el mencionado en el artículo, y sin perjuicio de que adicionalmente se consideren las especiales circunstancias que concurren en esta entidad haciendo al mismo tiempo una interpretación amplia del criterio que inspira el Considerando 148 del RGPD, según el cual se podrá imponer la sanción de apercibimiento cuando la imposición de una multa constituya una carga desproporcionada que sin ninguna duda provocaría el fin de la actividad de la asociación con el consiguiente perjuicio a todos sus miembros. Indica también el mencionando Considerando que debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente. HECHOS PROBADOS PRIMERO: La reclamación se concreta en el formulario de solicitud para el alta y baja de sus asociados que CECO comenzó a utilizar en 2019, que, según el reclamante, miembro de la asociación, no se adecúa a la normativa de protección de datos de carácter personal. El formulario de solicitud de alta, al que se refiere el reclamante, incluye espacios para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 los datos identificativos de una persona, en particular los relativos al nombre, apellidos, NIF y a la Diócesis a la que pertenece. Posteriormente, el documento indica que la persona así identificada “solicita por el presente documento pertenecer como miembro de la asociación de Ciegos Españoles Católicos (CECO). A continuación, dice: “Seguidamente se procede a dar los datos necesarios para la inscripción”. Estos datos son la dirección postal, con indicación de la localidad, provincia y código postal; la fecha de nacimiento; los teléfonos fijo y móvil, la dirección electrónica y el “sistema de lectoescritura”. (El subrayado es de la AEPD) En párrafo independiente incluye esta leyenda: “El solicitante de esta inscripción, tiene constancia que los datos que se reflejan en esta inscripción serán manipulados por la asociación de Ciegos Españoles Católicos (CECO) la cual se hace responsable del buen uso de los mismos”. Y añade: “..., autoriza a la asociación de Ciegos Españoles Católicos (CECO) a poder manipular su imagen en cualquier acto que la asociación realice y que tiene consciencia que ese material (Grabaciones, fotos, videos…) formará parte del archivo de la asociación”. Debajo se recaba la “Firma del solicitante”. SEGUNDO: La reclamada presenta junto con sus alegaciones, el documento de la solicitud de Alta en CECO, en la que, tras la recogida de los datos personales, se incluye información sobre el responsable del tratamiento; finalidad; legitimación; destinatarios de los datos; derechos que se pueden ejercer, dirección a la que dirigirse, añadiendo la posibilidad de presentar una reclamación ante la AEPD. Al final del documento, se solicita consentimiento para la realización y utilización de imágenes, sonido y vídeo exclusivamente con las finalidades arriba indicadas y para poder ser publicados en: · La página web y perfiles en redes sociales de la Asociación. · Filmaciones destinadas a difusión de las actividades de la Asociación. · Fotografías para revistas o publicaciones de ámbito relacionado con la Asociación. A continuación, hay dos casillas, sin premarcar, con las opciones: Autorizo/No Autorizo. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 85, Terminación en los procedimientos sancionadores, de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su apartado primero, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. La reclamada indica expresamente lo siguiente en su escrito de alegaciones al acuerdo de inicio: “Que reconoce que el formulario de solicitud de alta objeto de la reclamación que da inicio a este procedimiento sancionador, no facilitaba toda la información exigida por el artículo 13 del RGPD, pero que como se ha expuesto en los apartados anteriores esta asociación ha realizado con posterioridad notables esfuerzos para su adaptación a efectos del cumplimiento de todos y cada uno de los requisitos detallado en el mencionado en el artículo.” III El artículo 5 del RGPD relativo a los principios que han de regir el tratamiento de datos personales menciona entre ellos el de transparencia. El apartado 1 del precepto dispone: “Los datos personales serán:
10. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” Manifestación del principio de transparencia es la obligación que incumbe a los responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al titular de los datos personales cuando éstos se obtengan directamente del interesado: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
11. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
12. b)los datos de contacto del delegado de protección de datos, en su caso;
13. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
14. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
15. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
16. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14
17. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
18. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
19. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
20. d)el derecho a presentar una reclamación ante una autoridad de control;
21. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
22. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” El artículo 5.1.
23. a)del RGPD enuncia el principio de «licitud, lealtad y transparencia», principio en el que incide el Considerando 39: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. […]” Por su parte, el Considerando 60 vincula el deber de información con el principio de transparencia, al establecer que “Los principios de tratamiento leal y transparente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les deben informar si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran […]”. En este orden, el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz materialización y el artículo 13 concreta qué información debe facilitarse cuando los datos se obtengan del interesado. III La reclamación que examinamos versa sobre la adecuación a la normativa de protección de datos del formulario que la reclamada utiliza desde 2019 para recoger los datos personales de quienes desean incorporarse a la asociación como asociados. Este documento obra en el expediente por duplicado, aportado tanto por el reclamante como por la reclamada. La reclamada ha manifestado que el formulario fue aprobado por su Junta General en el año 2019 y que a través de él se perseguía dar cumplimiento a las nuevas obligaciones que la LOPDGDD impuso a los responsables del tratamiento de datos personales. Obligaciones que, como se ha indicado, vienen impuestas realmente por el RGPD, artículo 13. El documento en cuestión, que lleva el nombre de “Solicitud de Alta en CECO”, se describe en el Hecho primero, anexo I, de este acuerdo de inicio y además se hace referencia a él en el Hecho Segundo apartado b). A tenor del formulario de 2019 elaborado y empleado por la reclamada, la persona que facilita sus datos “solicita ...pertenecer como miembro de la asociación de Ciegos Españoles Católicos (CECO)” y, más adelante, el documento dice: “...se procede a dar los datos necesarios para la inscripción”. Por medio del documento se recaban, además del nombre, apellidos y NIF, los siguientes datos personales: la Diócesis a la que pertenece el titular de los datos; la dirección postal, con indicación de localidad, provincia y código postal; la fecha de nacimiento; los teléfonos fijo y móvil; la dirección electrónica y el “sistema de lectoescritura”. Así pues, el examen del formulario evidencia que, a través de él, la reclamada recoge la voluntad de una persona física de integrarse en la asociación y, con esta finalidad, recaba sus datos personales. Declaración de voluntad del solicitante que es uno de los elementos que conforman el especial negocio jurídico en virtud del cual se adquiere la condición de asociado. A propósito de esta cuestión -la adquisición de la condición de asociado, a excepción de los fundadores de la asociación- el Tribunal Constitucional ha expresado reiteradamente que se produce por “un acto de integración que constituye un especial negocio jurídico por el que el nuevo asociado, aceptando previamente los Estatutos cuyo conocimiento es preceptivo y previo, se integra en la asociación” (STC 218/1988, de 11 de noviembre). La validez de ese particular negocio jurídico en virtud del cual se adquiere C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 la condición de asociado exige que quien vaya a serlo conozca y acepte previamente los Estatutos de la asociación. Es esto mismo lo que se informó a la asociación reclamada en el Informe emitido por la AEPD el 30/04/2019 en el que se decía: <<En consecuencia, el tratamiento de datos personales planteado será lícito de acuerdo con lo establecido en el apartado 1.
24. b)del artículo 6 del RGPD, al tratarse de una asociación, y en la medida en que cada socio ingrese de la forma legalmente establecida en la organización aceptando los correspondientes estatutos>> El artículo 13 del RGPD dispone que cuando los datos personales se recaben de un interesado -lo que acontece a través del formulario o documento de CECO objeto de la reclamación- el responsable del tratamiento está obligado, en ese preciso momento, esto es, cuando los obtiene, a informar al titular de los datos. Información que abarca diversas cuestiones que detalla el artículo 13 del RGPD. En el documento de CECO que hemos examinado debería haberse incluido toda la información que el precepto exige. Sin embargo, únicamente se facilita el nombre de la asociación y su acrónimo, y este párrafo: “El solicitante de esta inscripción, tiene constancia que los datos que se reflejan en esta inscripción serán manipulados por la asociación de Ciegos Españoles Católicos (CECO) la cual se hace responsable del buen uso de los mismos”. La reclamada, en su condición de responsable del tratamiento, conforme al artículo 13 RGPD estaba obligada a incluir en el formulario mediante el que recaba los datos de terceros diversa información de la que ha prescindido total y absolutamente. En particular, está obligada a informar sobre los fines del tratamiento a que se destinarán los datos personales recogidos. Tampoco informa, como era su obligación, de la base jurídica del tratamiento; ni de los destinatarios de los datos personales; del plazo durante el cual conservará los datos personales o, no siendo posible establecer un plazo, sobre los criterios utilizados para determinarlo. Omite que el titular de los datos ostenta el derecho a solicitar al responsable del tratamiento el acceso a sus datos, la rectificación, supresión, limitación de su tratamiento, a oponerse al tratamiento y a la portabilidad de los datos. Tampoco informa del derecho a presentar una reclamación ante la autoridad de control. No informa de si se van a adoptar decisiones automatizadas a las que se refiere el artículo 22, apartados 1 y 4 del RGPD, incluida la elaboración de perfiles, y, si fuera así, sobre la lógica aplicada y sobre la importancia y consecuencias previstas de dicho tratamiento para el interesado. En definitiva, el formulario de solicitud de alta que la reclamada ha utilizado desde 2019 hasta la modificación del mismo producida tras la recepción de esta reclamación, para recabar datos personales no facilitaba la información exigida por el artículo 13 del RGPD. El formulario empleado vulneraba el artículo 13 del RGPD conducta que es subsumible en el artículo 83.5 del RGPD que dispone: “Las infracciones de las disposiciones siguientes se sancionarán de acuerdo con el apartado 2, con multas administrativas de 20.000.000 de Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
25. a)(...)
26. b)Los derechos de los interesados a tenor de los artículos 12 a 22;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 A los meros efectos de prescripción, el artículo 72.1.
27. h)de la LOPDGDD califica de muy grave “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. El plazo de prescripción de las infracciones muy graves previsto en la Ley Orgánica 3/2018 es de tres años. IV El artículo 58.2 del RGPD establece: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
28. a)(..)
29. b)sancionar a todo responsable o encargado de tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; c)...
30. d)ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (...) i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”. En el presente caso, atendidas las especiales circunstancias que concurren en la entidad responsable de la infracción y haciendo una interpretación amplia del criterio que inspira el Considerando 148 del RGPD, según el cual cuando la multa que probablemente se impusiera constituyese una carga desproporcionada, procede imponer la sanción de apercibimiento por la infracción del artículo 13 del RGPD, consecuencia de la recogida de datos con el modelo del año 2019, que no incluía la información establecida en el mencionado artículo. V La reclamada acompaña, junto con sus alegaciones, la nueva cláusula de protección de datos que se incluye en la solicitud de alta como miembro de la asociación. La información que se facilita en la misma recoge todos los apartados que establece el artículo 13 del RGPD ya referido. Asimismo, y al final de la solicitud de alta, incluye un apartado específico para recabar el consentimiento del solicitante para tratar su imagen. En este caso, la base jurídica para el tratamiento de la imagen de la persona que solicita ser miembro de la asociación no deriva de su condición de miembro de aquella -esto es, del artículo 6.1.
31. b)del RGPD- sino del consentimiento otorgado para esa específica finalidad (artículo 6.1.a del RGPD). El RGPD (artículo 3.11) define el consentimiento del interesado como “toda manifestaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 ción de voluntad, libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” y en su artículo 7 detalla las condiciones que el consentimiento debe reunir para que sea válido. Entre ellas, el punto 2 del precepto dice: “Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento”. Sobre ese particular puede traerse a colación el Considerando