1/3 Procedimiento Nº: PS/00073/2020 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00073/2020, instruido por la Agencia Española de Protección de Datos, ante D. A.A.A. (en adelante, “el reclamado”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 09/07/19, tiene entrada en esta Agencia, denuncia presentada por D. B.B.B., (en adelante, “el reclamante”), en la que indicaba, entre otras, lo siguiente: “El pasado 5 de junio recibí un email por parte de este abogado en el que se adjuntaba un acta de una comunidad de propietarios con la que no tengo ninguna relación (ni personal ni profesional), en la que aparecen datos personales de propietarios, proveedores, deudas, etc. Creo que es un incumplimiento del deber de secreto ya que pone a disposición de terceros no autorizados datos personales”. Se adjunta a la denuncia el correo electrónico recibido”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD. Así, con fecha 19/08/19 y 20/02/20, se dirigen sendos requerimientos informativos al reclamado. TERCERO: Según consta en el certificado emitido por la Sociedad Estatal de Correos y Telégrafos, el requerimiento enviado al reclamado el 19/08/19 a la dirección ***DIRECCION.1, fue devuelto a origen por “ausente” y no recogido del servido de “lista” de Correos y el requerimiento enviado al reclamado el 20/02/20, a la dirección indicada arriba, fue devuelto a origen por “desconocido”. CUARTO: A la vista de los hechos denunciados y de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos consideró que la actuación de la entidad reclamada no cumplía las condiciones que impone la normativa en vigor. Así, con fecha 01/06/20, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por infracción de los artículos 5.1.
- f)del RGPD, sancionable conforme a lo dispuesto en el art. 83 de la citada norma, con una sanción de “apercibimiento”, sin perjuicio de lo que resultase de la instrucción del mismo. CUARTO: Con fecha 03/06/20, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/3 HECHOS PROBADOS 1.- Según consta en la documentación presentada en la reclamación, se puede verificar que el reclamante recibió un correo electrónico desde la dirección <<A.A.A.>> ***EMAIL.1, en el que se adjuntaba un acta de una sesión de una comunidad de propietarios, donde aparecen datos personales de los propietarios, proveedores, deudas, etc., sin tener relación alguna, según denuncia, con dicha comunidad. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II En el presente caso, el reclamante denuncia haber recibido un email por parte del reclamado en el que se adjuntaba un acta de una comunidad de propietarios con la que no tienen ninguna relación, en la que aparecen datos personales de propietarios, proveedores, deudas, etc. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 5.1.
- f)del RGPD, donde dispone que los datos personales serán:
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>). Además, el artículo 5 de la LOPDGDD, “Deber de confidencialidad” dispone que: 1. Los responsables y encargados del tratamiento de los datos, así como, todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. Por su parte, el apartado
- a)del artículo 72.1 de la LOPDGDD tipifica, a efectos de prescripción, como “muy grave”, el: “tratamiento de los datos personales vulnerando los principios y garantías establecido en el artículo 5 del RGPD”. III Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. No obstante, El artículo 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/3 de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular, por lo que, la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción del presente expediente. Con arreglo a indicado anteriormente, se estima adecuado imponer a la entidad reclamada una sanción de “Apercibimiento”, por la infracción del artículo 5.1.
- f)del RGPD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos. RESUELVE PRIMERO: APERCIBIR a D. A.A.A., por la infracción del artículo 5.1.
- f)del RGPD, sancionable conforme a lo dispuesto en los art. 83 de la citada norma. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A., y al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es