PS-00154-2022

1/12  Expediente N.º: EXP202102433 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. y D. B.B.B. (en adelante la parte reclamante) con fecha 09/08/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra D. C.C.C. con NIF ***NIF.1 (en adelante el reclamado). Los motivos en que basa la reclamación son los siguientes: los reclamantes manifiestan haber recibido el 07/08/2021 mensajes procedentes de la dirección ***EMAIL.1 y del reclamado en el que los destinatarios no figuran “en copia oculta”. Aportan: - Captura de pantalla de la bandeja de entrada del correo electrónico en la que constan dos correos electrónicos procedentes del reclamado. Para ambos la columna correspondiente muestra el asunto “HORROR DINNER HORROR DINNER una inolvidable experiencia protagonizada por una pintoresca fam…”. - Captura de pantalla de la apertura de un correo electrónico de asunto “HORROR DINNER” y fecha 07/08/2021 (3:37 horas); no se observa el contenido del mensaje pero sí parcialmente la lista de una pluralidad de destinatarios (direcciones de correo electrónico) a los que se habría enviado el correo electrónico. Según manifiestan “en toda la pantalla no terminan las direcciones, si continúo bajando habría todavía más direcciones, ya que en total son algo más de 190, como me indica Hotmail cuando abro el email.” - Captura de pantalla de la apertura de un correo electrónico de asunto “HORROR DINNER” y fecha 07/08/2021 (3:40 horas). En la captura no se observa el contenido del mensaje pero sí parcialmente la lista de una pluralidad de destinatarios (direcciones de correo electrónico) a los que se habría enviado el correo electrónico. Según manifiestan “como antes, en un único pantallazo no se ven todas las direcciones, si continuamos bajando aparecen muchas más, hasta llegar a casi 200”. - Captura de pantalla de la apertura de un correo electrónico de asunto “Re: HORROR DINNER” y fecha 07/08/2021 (8:21 horas) dirigido al reclamado. El mensaje advierte que no ha autorizado a facilitar sus datos a otras personas y solicita que le eliminen de la lista de distribución en la que se le habría incluido sin su autorización. - Captura de pantalla de la apertura de un correo electrónico de asunto “Re: HORROR DINNER” y fecha 07/08/2021 (11:46 horas) dirigido al reclamado info@screamentertainment.es. El contenido del mensaje coincide con el citado en el párrafo anterior. - Captura de pantalla de la apertura de un correo electrónico de asunto “Ezin da bidali: Re: HORROR DINNER” y fecha 07/08/2021 (11:47 horas) dirigido por “Microsoft Outlook <postmaster@outlook.com>” en el que (en lengua vascuence) se le informa de que el correo electrónico descrito en el punto anterior no ha podido ser entregado a la dirección info@screamentertainment.es. - Captura de pantalla de la apertura de un correo electrónico de asunto “HORROR DINNER” y fecha 07/08/2021 (5:42 horas). En la captura el contenido del y la lista de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 una pluralidad de destinatarios (direcciones de correo electrónico) a los que se habría enviado el correo electrónico. El mensaje publicita un evento organizado por el reclamado y refiere el sitio de internet ***URL.1. - Captura de pantalla de la apertura de un correo electrónico de fecha 07/08/2021 (6:42 horas) dirigido al reclamado en el que le solicita la eliminación de sus datos de la base de datos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 01/10/2021 se dio traslado de dicha reclamación al reclamado, de conformidad con la LPACAP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta respuesta del reclamado. TERCERO: Con fecha 17/11/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El 24/11/2021 se le dirige al reclamado requerimiento solicitándole que facilite la siguiente información en relación con los hechos investigados: “1.- Motivo por el cual se remitió el correo que se adjunta a este requerimiento sin copia oculta, es decir, mostrando las direcciones del resto de destinatarios a todos ellos. 2.- Descripción del procedimiento establecido para la remisión de este tipo de comunicaciones. Copia de las instrucciones dirigidas al personal encargado de su envío. 3.- Acciones tomadas con objeto de minimizar los efectos adversos de este incidente y las adoptadas para su resolución final indicando las fechas en que se han ejecutado. 4.- En su caso, motivo por el cual no se ha notificado la brecha de seguridad a esta Agencia. 5.- En su caso, información sobre la notificación de la brecha de seguridad a los afectados indicando el medio de remisión y aportando copia de la notificación remitida. 6.- En su caso, información sobre si se han producido otros envíos de correos similares sin copia oculta de los destinatarios. 7.- Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes de seguridad como el sucedido.” El requerimiento resultó entregado con fecha de 07/12/2021. Transcurrido el plazo concedido, no consta en los sistemas de información de la AEPD contestación alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 El requerimiento de información fue dirigido al reclamado a la dirección postal ***DIRECCION.1. Consta Diligencia del inspector actuante con información recopilada de internet en relación con el reclamado: - El aviso legal incorporado al sitio de internet ***URL.1 (referido en los correos electrónicos objeto de reclamación) cita lo siguiente en cuanto a su responsable: “Datos sobre el responsable de esta web y del dominio www.screamfarmgroup.com. Denominación social es: Scream Farm Group CIF: ***NIF.1 Su domicilio social está en Celler 6, Ático B, 07141 Marratxi, Palma de Mallorca. […] Correo electrónico: info@screamentertainment.es […] Legitimación para el tratamiento de datos: La base legal para el tratamiento de tus datos de las finalidades anteriores es la ejecución de la prestación del servicio correspondiente. La oferta prospectiva de productos y servicios a clientes y usuarios tiene como base la satisfacción del interés legítimo empresarial consistente en poder ofrecer a nuestros clientes la contratación de otros productos o servicios y conseguir así su fidelización. Dicho interés legítimo se reconoce por la normativa legal aplicable (Reglamento General de Protección de Datos), que permite expresamente el tratamiento de datos personales sobre esa base legal con fines de mercadotecnia directa. No obstante, te recordamos que tienes derecho a oponerte a este tratamiento de tus datos, pudiendo hacerlo por cualquiera de los medios descritos en esta Política. La base del envío de comunicaciones comerciales a usuarios no clientes es el consentimiento que se ha solicitado, pudiendo ser revocado en cualquier momento. La retirada de dicho consentimiento no afectará en ningún caso a la ejecución del contrato, pero los tratamientos de datos con ese fin efectuados con anterioridad no perderán su licitud por el hecho de que el consentimiento se haya revocado. […] Contacto En caso de que cualquier Usuario tuviese alguna duda acerca de estas Condiciones legales o cualquier comentario sobre nuestra web, por favor diríjase a ***EMAIL.2 o a través del apartado de contacto.” - El aviso legal incorporado al sitio de internet ***URL.2/ que refiere información análoga a la dispuesta en el párrafo anterior. QUINTO: Con fecha 29/04/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción de los artículos 32.1 y 5.1.

1. f)del RGPD, tipificadas en el artículo 83.4.
2. a)y 83.5.
3. a)del RGPD, con apercibimiento. Consta la recepción por el reclamado del acuerdo de inicio del expediente. SEXTO: Notificado el acuerdo de inicio, el reclamado al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
4. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 HECHOS PROBADOS PRIMERO: El 09/08/2021 tiene entrada en la AEPD escrito de la parte reclamante manifestando manifiestan haber recibido el 07/08/2021 correos electrónicos procedentes de la dirección ***EMAIL.1 y del reclamado en el que los destinatarios no figuran “en copia oculta”. SEGUNDO: La parte reclamante ha aportado capturas de pantalla de la bandeja de entrada del correo electrónico en la que constan correos electrónicos procedentes del reclamado TERCERO: Consta la siguiente información aportada por la Agencia Estatal de Administración Tributaria (AEAT), en relación con los datos asociados al NIF ***NIF.1 que figuran en sus bases de datos: “C.C.C.” con domicilio fiscal en “***DIRECCION.1” CUARTO: Consta Diligencia del inspector actuante en la que figura información obtenida de internet relacionada con el reclamado: - El aviso legal incorporado al sitio de internet ***URL.1 citando lo siguiente en cuanto a su responsable: “Datos sobre el responsable de esta web y del dominio www.screamfarmgroup.com. Denominación social es: Scream Farm Group CIF: ***NIF.1 Su domicilio social está en Celler 6, Ático B, 07141 Marratxi, Palma de Mallorca. […] Correo electrónico: info@screamentertainment.es […] Legitimación para el tratamiento de datos: La base legal para el tratamiento de tus datos de las finalidades anteriores es la ejecución de la prestación del servicio correspondiente. La oferta prospectiva de productos y servicios a clientes y usuarios tiene como base la satisfacción del interés legítimo empresarial consistente en poder ofrecer a nuestros clientes la contratación de otros productos o servicios y conseguir así su fidelización. Dicho interés legítimo se reconoce por la normativa legal aplicable (Reglamento General de Protección de Datos), que permite expresamente el tratamiento de datos personales sobre esa base legal con fines de mercadotecnia directa. No obstante, te recordamos que tienes derecho a oponerte a este tratamiento de tus datos, pudiendo hacerlo por cualquiera de los medios descritos en esta Política. La base del envío de comunicaciones comerciales a usuarios no clientes es el consentimiento que se ha solicitado, pudiendo ser revocado en cualquier momento. La retirada de dicho consentimiento no afectará en ningún caso a la ejecución del contrato, pero los tratamientos de datos con ese fin efectuados con anterioridad no perderán su licitud por el hecho de que el consentimiento se haya revocado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 […] Contacto En caso de que cualquier Usuario tuviese alguna duda acerca de estas Condiciones legales o cualquier comentario sobre nuestra web, por favor diríjase a ***EMAIL.2 o a través del apartado de contacto.” - El aviso legal incorporado al sitio de internet ***URL.2 conteniendo información análoga a la dispuesta en el párrafo anterior. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los hechos reclamados se materializan en la recepción de correos electrónicos procedentes de la dirección ***EMAIL.1 perteneciente al reclamado en el que los destinatarios no figuran “en copia oculta”. El artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. El citado artículo señala que: “1. Los datos personales serán: (…)
5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. (…) III La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al remitir C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 correo electrónico sin utilizar la opción de copia oculta vulnerando la confidencialidad en el tratamiento de los datos de carácter personal. De este modo, la reclamante tuvo acceso a las direcciones de correo electrónico del resto de destinatarios. Este deber de confidencialidad, debe entenderse que tiene como finalidad evitar que se realicen accesos a los datos no consentidas por los titulares de los mismos. Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. IV El artículo 83.5
6. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
7. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…) V En segundo lugar, el artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
8. a)la seudonimización y el cifrado de datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
9. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
10. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
11. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. VI La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
12. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
13. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
14. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…)” VII El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad al remitir correo electrónico a un número elevado de destinatarios sin la función de copia oculta, sin disponer de medidas técnicas y organizativas adecuadas. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “