PS-00154-2019

1/4 938-0419 Procedimiento Nº: PS/00154/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00154/2019, instruido por la Agencia Española de Protección de Datos, ante C.C.C. (DISTRIBUCIONES CINEMATOGRÁFICAS JMA, S.L) (en adelante, “la persona reclamada”), en virtud de denuncia presentada por A.A.A. y B.B.B. (en adelante, “los reclamantes”) y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 15/10/18, tuvo entrada en esta Agencia escrito, presentado por los reclamantes, en el que expone, entre otra, lo siguiente: “El 03/03/18 los firmantes del presente documento fueron objeto de una demanda civil por parte de quien en este escrito figura como infractor de la normativa de protección de datos. Se aporta el documento 1 como prueba de la notificación del Decreto de 26 de abril de 2018 por el que se admite a trámite la demanda interpuesta por Distribuciones Cinematográficas IMA, SL., y por el que se da traslado de la misma. En ejercicio del derecho de defensa, procedimos a la contestación de la demanda el 31/05/18. Se aporta como documento 2 la Contestación presentada. Tras tener conocimiento de dicha contestación, el reclamado ha procedido a la comunicación integra de la Contestación (junto con la documentación que le sirve de soporte), a algunos antiguos clientes suyos y hoy nuestros. La comunicación de la contestación a la demanda a los destinatarios de los correos ha supuesto la revelación de diversa información que contiene datos de carácter personal de los demandados y de terceros que son mencionados en la propia contestación. Así, en la misma figuran nombres, dirección, correos electrónicos, números de DNI etc. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 30/11/18 y 08/02/19, se dirige un requerimiento informativo al reclamado. TERCERO: Con fecha15/03/19, el reclamado, remite a esta Agencia, entre otras, la siguiente información: “Por parte de la AEPD se realiza el requerimiento sin especificar claramente a quien se realiza el mismo. Así viene remitido a: C.C.C. (DISTRIBUCIONES CINEMATOGRAFICAS JMA, S.L.); ***DIRECCIÓN.1 lo que nos hace suponer que ha sido enviado a DISTRIBUCIONES CINEMATOGRAFICAS JMA, en la persona de su representante legal. Sin embargo, la denuncia presentada indica, bajo el epígrafe “DATOS DEL PRESUNTO RESPONSABLE" que el mismo es C.C.C.. Esta indefinición en la persona a quien va dirigida el requerimiento de la AEPD, es causa de indefensión al ser contrario al principio de congruencia. Por lo tanto, antes de que se conteste al presente requerimiento por parte de la AEPD se debe aclarar quién debe contestarle. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 A los solos efectos de cumplir en plazo con la contestación al requerimiento, y atendiendo a que la denuncia se presenta frente a C.C.C. como persona física queremos señalar que la presunta infracción cometida, no tiene amparo en la LOPD, así lo establece el su artículo 2. Claramente la actuación de C.C.C., queda fuera del ámbito de aplicación de la LOPD ya que no se ha producido un tratamiento de datos de los denunciantes, ni el soporte utilizado es susceptible de dicho tratamiento. Se podrá discutir si la actuación puede ser ética o penalmente objeto de reprobación, pero lo cierto es que no tiene encaje en el ámbito de aplicación de la LOPD, ya que no estamos ante un fichero de datos personales. Es cierto como se dice en la denuncia que el reclamante y DISTRIBUCIONES CINEMATOGRÁFICAS JMA, S.L. mantienen una controversia judicial sobre la apropiación indebida de un programa informático propiedad de esta, y que se tramita ante el Juzgado de Primera Instancia número siete de Bilbao, y que en la actualidad se encuentra pendiente de Sentencia, pero es rotundamente falso que C.C.C. haya buscado perjudicar al denunciante. No podemos comprender esa afirmación realizada de contrario ante la AEPD de que un documento, como es la contestación a la demanda, elaborado por el propio denunciante, pueda ser perjudicial para el mismo. Esta denuncia. parece una respuesta fuera de lugar a la legitima aspiración de DISTRIBUCIONES CINEMATOGRÁFICAS JMA, S.L. de verse resarcida por la apropiación indebida de un programa informático de su exclusiva propiedad. Lo verdaderamente cierto es que el hecho denunciado se limita a la comunicación que realiza el reclamado a 8 personas de la situación en que se encuentra su reclamación frente al denunciante. Si examinamos con detalle quienes son esas personas queda todavía más patente que esta denuncia no debe prosperar, ya que al contrario de lo que afirma el denunciante, el documento no se ha remitido a “antiguos clientes suyos y hoy nuestros", sino a personas que mantienen una relación familiar, relación laboral o una relaciones de amistad, que en algunos casos o no tienen ninguna relación con el negocio de la distribución cinematográfica y en otros son producto de los más de treinta años que ha trabajado en dicho sector. CUARTO: Con fecha 17/05/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la persona reclamada, por presunta infracción del artículo 5.1.

1. f)del RGPD con un sanción de apercibimiento, y otorgándole un plazo de audiencia de diez días hábiles para que formulase las alegaciones y presentase las pruebas que considerase convenientes. QUINTO: Según certificado emitido por el servicio de Correos, se constata que el escrito de incoación de expediente sancionador se notificó a la persona reclamada el 20/05/19. SEXTO: La parte reclamada no ha remitido a esta Agencia, ninguna documentación ni información, dentro del periodo de alegaciones, concedido al efecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación por el envió datos de carácter personal de terceros, por correo electrónico, a 8 personas diferentes, entre hijos, amigos y empleados de la empresa de la persona reclamada La normativa vigente indica que, los datos personales serán tratados de tal manera que se garantice su seguridad, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Además, los responsables y encargados del tratamiento de datos, así como, todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad III Los “hechos” anteriormente descritos pueden suponen una infracción del art. 5.1.
2. f)RGPD, dado que la persona reclamada envió datos personales de los reclamantes a terceras personas sin el consentimiento de ellos. El artículo 83.5) del RGPD dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
3. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; No obstante, a la hora de motivar la sanción, se ha tenido en cuenta que se trata de un particular, lo que justifica que la propuesta inicial fuera de Apercibimiento, en aplicación de lo estipulado en el art. 58.2.
4. b)y en el considerando 148 del mencionado RGPD. De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: APERCIBIR: a C.C.C. (DISTRIBUCIONES CINEMATOGRÁFICAS JMA, S.L), por la infracción del artículo 5.1.
5. f)del RGPD, en relación con el artículo 5 de la LOPDGDD; tipificada en el art. 83.5 apartado
6. a)del RGPD y calificada de muy grave, a efectos de prescripción, en el art. 72.1.
7. i)de la LOPDGDD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 NOTIFICAR: el presente Acuerdo CINEMATOGRÁFICAS JMA, S.L) a C.C.C. (DISTRIBUCIONES De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es