1/6 Procedimiento Nº: PS/00168/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 5 de noviembre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GERENCIA REGIONAL DE SALUD DE CASTILLA Y LEÓN con CIF S4711001J (en adelante, el reclamado). Los motivos en que basa la reclamación son: Envío por el reclamado a través de correo electrónico a todos los aspirantes de empleo ofertado el listado de los 738 aspirantes en el que consta el nombre, apellidos, teléfono y dirección email, entre ellos los de la reclamante. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante / de los hechos y documentos de los que ha tenido conocimiento esta Agencia, se procede a incoar procedimiento sancionador a la reclamada, conforme a los fundamentos de derecho más abajo expuestos. TERCERO: Con fecha 27 de abril de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 32 del RGPD, Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.4 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, aceptaba los términos del acuerdo de inicio en toda su amplitud y en el que expone los medios técnicos y organizativos implantados para evitar la repetición de los hechos. No propone práctica de pruebas. QUINTO: Con fecha 15/06/2021 se emitió Propuesta de Resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a GERENCIA REGIONAL DE SALUD DE CASTILLA Y LEÓN, con CIF S4711001J, por la infracción del artículo 32 del RGPD tipificada en el Artículo 83.4.
- a)del RGPD y por la infracción del artículo 5.1.
- f)del RGPD tipificada en el Artículo 83.5.
- a)del RGPD, ambas con sanción de APERCIBIMIENTO. Asimismo, se considera que se han tomado las medidas adecuadas para evitar que se vuelva a producir el incidente de seguridad de datos personales referido, por lo que no se requiere al responsable de la adopción de nuevas medidas.>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 SEXTO: Transcurrido el plazo para presentar alegaciones a la Propuesta de Resolución, no constan presentadas en esta AEPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: De la documentación aportada y de las alegaciones efectuadas por el reclamado, consta acreditado que el reclamado envió a todos los aspirantes de empleo ofertado el listado completo de los 738 aspirantes en el que constan visibles el nombre, apellidos, teléfono y dirección email de todos, entre ellos los de la reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del consejo, de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se debe señalar que de la documentación aportada por el reclamado consta que se han implementado las medidas técnicas y organizativas adecuadas para evitar la repetición en un futuro de hechos similares al ahora analizado. III El artículo 5.1.
- f)del RGPD, Principios relativos al tratamiento, señala lo siguiente: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. IV El artículo 32 del RGPD, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. V El artículo 83.4 del RGPD dispone lo siguiente: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” En el presente caso consta la posible vulneración de los artículos 25 y 32 del RGPD, por lo que es de aplicación lo dispuesto en el art. 83.4 del RGPD arriba transcrito. El artículo 83.5 del RGPD dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. El artículo 71 de la LOPDGDD dispone lo siguiente. <Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica.> El artículo 72.1.
- a)de la LOPDGDD dispone lo siguiente: Infracciones consideradas muy graves. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 <1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.> El artículo 73.
- g)de la LOPDGDD dispone lo siguiente: <Infracciones consideradas graves. En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679.> El artículo 77 de la LOPDGDD dispone lo siguiente: <Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento. 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas.
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.> En el presente caso, de la documentación aportada por la reclamante y no rebatida por el reclamado, consta que se ha vulnerado el principio de integridad (seguridad) conforme señala el artículo 32 del RGPD, tipificado en el artículo 83.4.
- a)del RGPD y considerada grave a efectos de prescripción en el artículo 73.
- g)de la LOPDGDD, así como el principio de confidencialidad conforme señala el artículo 5.1.
- f)del RGPD, tipificado en el artículo 83.5.
- a)del RGPD y considerada muy grave a efectos de prescripción en el artículo 72.1.
- a)de la LOPDGDD. En el presente caso, se considera que se han tomado las medidas adecuadas para evitar que se vuelva a producir el incidente de seguridad de datos personales referido, por lo que no se requiere al responsable de la adopción de nuevas medidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GERENCIA REGIONAL DE SALUD DE CASTILLA Y LEÓN, con CIF S4711001J, por la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD la sanción de APERCIBIMIENTO, y por la infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD la sanción de APERCIBIMIENTO. SEGUNDO: NOTIFICAR la presente resolución al reclamado y reclamante. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es