PS-00114-2023

1/12  RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 25/11/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA con NIF Q2826000H (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la reclamante considera que la reclamada ha vulnerado la normativa en materia de protección de datos de carácter personal al remitir sus datos fiscales (declaración de la renta del año 2019) a un tercero sin que conste que ostenta su representación. El 14/10/22 la afectada se dirigió a la reclamada mediante escrito indicándole que su liquidación tributaria había sido remitida incorrectamente a su sobrino, con el que no mantiene relación alguna, no siendo su representante. El 17/10/22 el tercero notificado por la reclamada presentó escrito en el que informaba que no representa a la reclamante. El 28/10/22 la reclamada remitió una notificación a la reclamante, donde se indicaban los antecedentes y se acordaba la rectificación del acto administrativo tratado, de manera que se anulaba la liquidación objeto de impugnación y se anulaba el expediente sancionador asociado al mismo. Junto a la reclamación se aportan copia de los documentos anteriores. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 30/01/2023 se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 30/01/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 25/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 19/04/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas infracciones de los artículos 5.1.

1. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
2. a)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 y 83.4.
3. a)del RGPD, sancionando con apercibimiento conforme a lo dispuesto en el artículo 77 de la LOPDGDD. QUINTO: Notificado el acuerdo de inicio, el reclamado en fecha 03/05/2023 presentó escrito de alegaciones manifestando, en síntesis: aseguramiento de la seguridad del sistema de notificaciones y comunicaciones: que el error cometido se produjo en un momento anterior a la notificación cuando se dio de alta en el registro de sucesores; protocolo de alta den el registro de sucesores: describe el reclamado el incidente producido y como todo fue debido a un error humano puntual y que en cuanto a las medidas de seguridad vienen establecidas de acuerdo con los análisis de riesgos realizados y acordes al riesgo detectado; admisión a trámite de la reclamación: no se entiende por qué se admitió a trámite cuando aún no se había recibido respuesta por parte de la AEAT y aún estaba dentro de plazo para el envío de dicha respuesta; que los errores humanos puntuales no pueden controlarse. SEXTO: Con fecha 23/05/2023 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. SEPTIMO: Con fecha 11/07/2023 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara al reclamado por infracción de los artículos 5.1.
4. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
5. a)y 83.4.
6. a)del citado RGPD, con sendos apercibimientos. Con fecha 24/07/2023 el reclamado presento escrito de alegaciones manifestando, en síntesis: que el RGPD no exige la seguridad absoluta sino que se apliquen las medias apropiadas que garanticen un nivel de seguridad adecuado; que el reclamado cuenta con análisis de riesgo que son revisados y actualizados constantemente; que en cuanto se tuvo conocimiento del error se acuto con la máxima diligencia dando de baja la relación; que el incidente se debió a un error humano y no a la falta de diligencia en las medidas implantadas considerando necesario incidir en la concienciación para evitar este tipo de errores. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. La reclamante mediante escrito de 25/11/2022 interpuso reclamación ante el reclamado, manifestado que la entidad reclamada ha vulnerado la normativa en materia de protección de datos de carácter personal al remitir sus datos fiscales (declaración de la renta del año 2019) a un tercero y sobrino de la reclamante sin que conste que ostenta su representación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 SEGUNDO. Consta aportado escrito de D. B.B.B., sobrino de la reclamante, de 03/10/2022 dirigido al reclamado en el que le informa haber recibido notificación tramite de alegaciones y propuesta de liquidación provisional en concepto de IRPF 2019, en calidad de representante de la reclamante en la que se contienen datos de carácter personal y adjunta la notificación por dicho concepto tributario. TERCERO. La reclamante aporta copia del escrito remitido al reclamado el 14/10/2022 en el que informa de los hechos sometidos al conocimiento de la AEPD, sin que según la afectada haya habido respuesta del reclamado. CUARTO. Consta Acuerdo de iniciación y comunicación del trámite de audiencia de expediente sancionador motivado por no haber respondido a la propuesta de liquidación provisional en concepto de IRPF 2019, que fue remitida a D. B.B.B.. QUINTO. Consta aportada Acuerdo de Resolución de Rectificación de Errores de 28/10/2022 en cuya parte resolutiva se señala que la notificación efectuada fue cursada erróneamente a otro contribuyente en calidad de representante de la reclamante por lo que se procedía a la anulación de la notificación, se rectificaban el acto de la notificación, se anulaba la liquidación provisional y el procedimiento sancionador. SEXTO. El reclamado en escrito de 03/03/2023 ha manifestado que “En el momento de enviar la información a la que hace referencia la reclamante (“Nota informativa” que contenía la “Notificación del trámite de alegaciones y propuesta de liquidación provisional”), el tercero involucrado (…) constaba como sucesor de la reclamante en el registro de sucesores de la Agencia Tributaria, de manera, tal y como establece la normativa, le fue enviada la documentación a dicho sucesor”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Los hechos denunciados se concretan en la notificación llevada a cabo por el reclamado dirigida a un tercero dándole traslado de documentación fiscal correspondiente a la reclamante sin que conste autorización o consentimiento alguno ni que ostenta su representación. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
7. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)
8. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)” III El tratamiento llevado a cabo es constitutivo de infracción del artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” IV El artículo 83.5
10. a)del RGPD considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable . Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 V 1. La documentación obrante en el expediente evidencia que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al permitir el acceso a los datos carácter personal por un tercero al que le fue notificada liquidación tributaria de la reclamante sin que conste que ostentara su representación, ni que constara su autorización para ello. El deber de confidencialidad debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Por tanto, ese deber es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. 2. El reclamado ha reconocido que “En el momento de enviar la información a la que hace referencia la reclamante (“Nota informativa” que contenía la “Notificación del trámite de alegaciones y propuesta de liquidación provisional”), el tercero involucrado (B.B.B.) constaba como sucesor de la reclamante en el registro de sucesores de la Agencia Tributaria, de manera, tal y como establece la normativa, le fue enviada la documentación a dicho sucesor. Que “El 17 de octubre de 2022, entró por registro de la Agencia Tributaria, el escrito del tercero involucrado (B.B.B.), donde indica que no representaba a la reclamante. Tras analizar los hechos y las posibles causas del error, el día 18 de octubre de 2022, se subsanó el registro de sucesores. El error se había debido a que, …, se había dado de alta en el registro de sucesores, siguiendo el protocolo interno, la relación entre el tercero involucrado y la reclamante (tía del tercero involucrado), en lugar de entre el tercero involucrado y la madre fallecida de la reclamante (C.C.C., abuela del tercero involucrado), al confundir el DNI de la madre fallecida con el de la hija. El tercero involucrado era nieto de la fallecida y sucesor de la misma, puesto que el padre del tercero involucrado e hijo de la fallecida también había fallecido”. Y que “Aunque no puede controlarse un error humano puntual, se prevé enviar un recordatorio sobre el protocolo de alta en el registro de sucesores, haciendo hincapié en el cotejo y revisión de toda la información incluida antes de dar el alta”. La actuación del reclamado evidencia la vulneración del principio de confidencialidad, de conformidad con lo establecido en el artículo 5.1.f), infracción tipificada en el artículo 83.5.
12. a)del citado Reglamento. VI En segundo lugar, se atribuye al reclamado la infracción del artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
13. a)la seudonimización y el cifrado de datos personales;
14. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
15. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
16. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. VII La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
17. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
18. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 Y en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
19. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. (…)” VIII 1. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad, con vulneración de las medidas de carácter técnico y organizativas. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 “