← España

PS-00071-2021

1/9  Procedimiento Nº: PS/00071/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, el reclamante) con fecha 08/01/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Dña. B.B.B. con NIF ***NIF.1 (en adelante, el reclamado). Los motivos en que basa la reclamación son que, en numerosas ocasiones, la academia le envía emails sin copia oculta, pudiendo no solo ver los nombres de las direcciones de correo de las demás personas, si no que los demás pueden ver la suya y adjunta prueba de 5 emails enviados en el transcurso de este último año. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 05/02/2020, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al afectado de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. Con fecha 04/03/2020 (fecha de registro de entrada 01/06/2020, 11/06/2020 y 01/07/2020) el reclamado respondía a la AEPD señalando en síntesis que la incidencia reclamada no constituye practica ni actuación habitual en el funcionamiento de la academia, reconociendo que si bien los hechos constituyen infracción de deber de confidencialidad obedecen a un error humano puntual, habiéndose incumplido el protocolo establecido para estos casos por la profesora actuante y adoptando una serie de medidas para evitar que en el futuro se vuelvan a producir este tipo de incidencias. TERCERO: El 02/06/2020, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 18/02/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la presunta inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 fracción de los artículos 5.1.

  1. f)y 32.1 del RGPD, sancionados conforme a lo dispuesto en el artículo 58.2.
  2. b)del citado reglamento. QUINTO: Notificado el acuerdo de inicio, el reclamado, en fecha 03/03/2021, manifestaba, en síntesis, lo siguiente: que en todo momento ha mostrado su voluntad de colaboración hacia este organismo; que se reconocieron los hechos constitutivos de la infracción indicando su carácter de puntual y ausencia de intencionalidad; que se remitió a los profesores y personal comunicado a través del cual se reiteraba la obligación de seguir el protocolo para esos y la obligación de utilizar la funcionalidad de copia oculta que permite mantener la confidencialidad de las direcciones electrónicas; se revisó la implantación que en 2018 que llevó a cabo una asesoría en materia de Protección de Datos contratada a esos efectos examinando nuevamente todos los procedimientos y tratamientos y actualizarlos, razón por la cual se encargó a una consultora especializada la realización de una nueva implantación; que en junio pasado finalizó la revisión y actualización de la implantación, pudiéndose consultar en la página web: www.empleate.com y su política de privacidad; que recientemente, además, se ha procedido a nombrar de forma voluntaria a un Delegado de Protección de Datos para la sociedad limitada EMPLEA-TE, S.L. a fin de hacer más efectivo el control del cumplimiento normativo, y asegurar eficacia y calidad en el tratamiento de los datos y atención a los interesados. SEXTO: Con fecha 13/03/2021 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/00881/2020. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. SEPTIMO: El 31/03/2021 fue emitida Propuesta de Resolución en el sentido de que se sancionara al reclamado por infracción de los artículos 5.1.
  3. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
  4. a)y 83.4.
  5. a)del RGPD, con apercibimiento de conformidad con el artículo 58.3 del RGPD. Transcurrido el plazo legalmente señalado al tiempo de la presente Resolución el reclamado no había presentado escrito de alegaciones. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 08/01/2020 la reclamante presento escrito ante la Agencia Española de Protección de Datos, manifestando que, en numerosas ocasiones, la academia en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 que prepara le envía emails sin copia oculta, pudiendo no solo ver los nombres de las direcciones de correo de las demás personas, si no que los demás pueden ver la suya y adjunta como prueba de 5 emails enviados en el transcurso de este último año. SEGUNDO: Constan aportados copia los correos electrónicos remitidos a la reclamante el 19, 21, 26, 27 y 29/02/2019 sin copia oculta. TERCERO: El reclamado en escrito de 01/06/2020 ha manifestado que “se debe señalar en primer lugar que la incidencia que motiva los hechos objeto de la reclamación no se constituye como práctica habitual dentro de su funcionamiento normal. En este sentido, la Academia reconoce como no podría ser de otra forma, que los hechos constituyen una infracción del deber de confidencialidad, y que, siendo conocedora de este extremo reitera, que la práctica no es normal sino, que obedece a un error humano puntual”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  6. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” En primer lugar, el artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. El citado artículo señala que: “1. Los datos personales serán: (…)
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. (…) El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  8. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. III En segundo lugar, el artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  9. a)la seudonimización y el cifrado de datos personales;
  10. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  11. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  12. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
  13. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” IV Los hechos probados evidencian la divulgación de las direcciones de correo electrónico al ser remitido a la reclamante correos electrónicos sin copia oculta con quebrantamiento de las medidas técnicas y organizativas y vulnerando la confidencialidad de los datos. Ha quedado acreditado a través de las capturas de pantallas de los correos electrónicos aportadas por la reclamante que fueron remitidos desde la dirección Info Emplea-te info@emplea-te.com, en fechas 19, 21, 26, 27 y 29/02/2019 sin copia oculta, a una pluralidad de direcciones de correo electrónico entre las que se halla la dirección titularidad de la reclamante y a través del cual se informaba de las actividades de la academia, lo que supone la vulneración de la normativa en materia de protección de datos de carácter personal. Dicha actuación constituye vulneración de los principios de confidencialidad y de seguridad de los datos, regulados en los artículos 5.1.
  15. f)y 32.1 del RGPD, y tipificada en los artículos 83.5.
  16. a)y 83.4.
  17. a)del RGPD. Además, se observa que en el pie de los citados correos cuando se hace referencia a la política de privacidad se alude a la LOPD 15/1999 norma que en dicha fecha ya se encontraba derogada por el RGPD. No obstante, con la finalidad de aclarar los términos de la reclamación presentada y que ha propiciado la apertura del presente procedimiento sancionador, el reclamado mediante escrito de 03/03/2020 señalaba que en todo momento ha mostrado su voluntad de colaboración hacia esta Autoridad de Control indicando que no era cierto, como constaba en el acuerdo de inicio, que no contestara al requerimiento formulado por la AEPD ya que respondió al mismo y que la incidencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 objeto de la reclamación no constituye la práctica habitual en su funcionamiento normal y, aunque reconoce que los hechos constituyen infracción de la normativa sobre protección de datos de carácter personal, todo obedece a un error humano puntual e involuntario y que la profesora que impartía las clases al grupo en cuestión incumplió el protocolo establecido para estos casos, por lo que se llevaron a cabo una serie de medidas para evitar este tipo de incidencias: La remisión a todos los profesores y personal de administración un comunicado informando y reiterando la obligación de seguir el protocolo para estos casos, y la obligación de utilizar la funcionalidad de copia oculta que permite mantener la confidencialidad de las direcciones electrónicas. La revisión de la implantación que en 2018 se llevó a cabo del RGPD, y que lo más conveniente era examinar nuevamente todos los procedimientos y tratamientos y actualizarlos, razón por la cual se encargó a una consultora especializada la realización de una nueva implantación. El nombramiento de DPD para hacer más efectivo el control del cumplimiento normativo, y asegurar eficacia y calidad en el tratamiento de los datos y atención a los interesados. V La vulneración del artículo 5.1.
  18. f)del RGPD viene tipificada en el artículo 85.5.
  19. a)del citado Reglamento. El artículo 83.5
  20. a)considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica que: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  21. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 VI La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
  22. a)del RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  23. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  24. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. (…)” VII No obstante, el artículo 58.2 del REPD dispone lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  25. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2.
  26. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. En el presente procedimiento como se señalaba con anterioridad ha quedado acreditado la divulgación de las direcciones de correo electrónico al ser remitido a la reclamante correos electrónicos sin copia oculta con quebrantamiento de las medidas técnicas y organizativas y vulnerando la confidencialidad de los datos. De conformidad con las evidencias de las que se dispone dicha conducta constituye por parte del reclamado la vulneración de lo dispuesto en los artículos 5.1.
  27. f)y 32.1 del RGPD. No obstante, el reclamado mediante escrito remitido a esta Agencia, además de reconocer los hechos producidos señalando que todo había sido consecuencia de un error humano puntual y la ausencia de intencionalidad, ha procedido a adoptar una serie de medidas informando y comunicando al personal de la academia sobre la obligación de seguir del protocolo establecido en materia de correos electrónicos; la revisión de todos los procedimientos y tratamientos implantados, actualizándolos y encargando a una consultora especializada la realización de dichos trabajos, etc., y a fin de para hacer más efectivo el control del cumplimiento normativo el nombramiento de DPD, por lo que no procede instar la adopción de medidas adicionales al haber quedado acreditado que el reclamado ha adoptado medidas adecuadas y razonables para evitar incidencias como la reclamada. Además, hay que tener en cuenta que no se aprecia reincidencia, por no constar la comisión en el término de un año de más de una infracción de la misma naturaleza y que el reclamado es una pequeña empresa. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del aartículo 32.1 del RGPD, tipificada en el Artículo 83.4.
  28. a)del RGPD, una sanción de apercibimiento de conformidad con el artículo 58.3 del RGPD. SEGUNDO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 5.1.
  29. f)del RGPD, tipificada en el artículo 83.5.
  30. a)del RGPD, una sanción de apercibimiento de conformidad con el artículo 58.3 del RGPD TERCERO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  31. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.