← España

PS-00191-2019

1/8  Procedimiento Nº: PS/00191/2019 938-051119 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de diciembre de 2018 Don A.A.A., (en adelante, el reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos contra Don B.B.B., (en adelante, el reclamado), por el envío de un correo electrónico sin ocultar la dirección de correo electrónico del resto de los destinatarios del envío, en el que publicita su candidatura para la Junta de Gobierno del Colegio Oficial de Ingenieros Técnicos Industriales de Madrid en las elecciones a celebrar, en ese momento, el día 21 de enero, y el que se encuentra colegiado el reclamante. El reclamante indica que el reclamado “ha mandado mails en grupos de 80-90 colegiados en los que no ha ocultado el mail de los destinatarios, así con los más de 7.000 colegiados. En concreto, en el mail que yo he recibido, nos encontramos un total de 87 destinatarios en el que todos podemos ver los mails de los otros, siendo nuestro mail un dato totalmente privado, (…) Al igual que yo puedo ver el mail de dichos colegiados, todos ellos pueden ver el mío. (…) Entiendo que esto se ha hecho con los más de 7.000 colegiados en diferentes envíos con grupos similares (…).” El reclamante adjunta impresión de un correo electrónico remitido, con fecha ***FECHA.1, desde la cuenta ***EMAIL.1 a un total de 87 destinatarios cuyas cuentas de correo electrónico resultan visibles para el resto de destinatarios del envío, con asunto “***ASUNTO.1”. Asimismo, aporta impresión del programa electoral del remitente, anexado a dicho correo mediante fichero adjunto. SEGUNDO: Tras la recepción de la reclamación, con fecha con fecha 5 de febrero de 2019, se trasladó copia de la misma al reclamado a fin de requerirle, entre otros extremos, determinada información en relación con los hechos expuestos. El envío se remitió a través de la Sociedad Estatal Correos y Telégrafos, S.A. a la dirección de la oficina electoral en Madrid que figuraba en el correo electrónico aportado por el reclamante, siendo devuelto por “Desconocido el 7 de febrero de 2019” en dicho domicilio. Con fecha 1 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la reclamante, de conformidad con lo previsto en el artículo 65.5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), y a los efectos previstos en el artículo 64.2 de la misma norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 TERCERO: Consultada con fecha 9 de julio de 2019 la aplicación que gestiona los antecedentes de sanciones y apercibimientos precedentes en materia de protección de datos, se verifica que no constan registros previos asociados al reclamado por infracción en normativa de protección de datos distintos al que afecta al presente procedimiento sancionador. CUARTO: Con fecha 12 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. En dicho acuerdo de inicio se acordaba que, de confirmarse la existencia de la infracción descrita, y a los efectos previstos en el artículo 58.2.
  2. d)del RGPD, en la resolución que, en su caso pudiera recaer, se ordenarían al reclamado la realización de determinadas medidas correctivas, cuyo detalle se precisaba en el reseñado acuerdo de inicio. Asimismo, se le indicaba el plazo para acreditar ante esta Agencia su adopción una vez notificada la resolución sancionadora. QUINTO: Intentado notificar al reclamado el citado acuerdo de inicio a través de la Sociedad Estatal Correos y Telégrafos, S.A. en la dirección que figura en el procedimiento, resultó ausente en los intentos efectuados con fechas 22 y 30 de julio de 2019, dejándose aviso en el buzón. Posteriormente, el envío fue devuelto a origen el 7 de agosto de 2019 por “Sobrante”, al no ser retirado de la oficina de Correos, según figura en la Certificación emitida por dicha Sociedad. Por lo que, de conformidad con lo dispuesto en los artículos 44,45 y 46 de la Ley 39/2015, de 1 de octubre, del Procedimiento Común de las Administraciones Públicas, se procedió a publicar anuncio de notificación del citado acuerdo de inicio en el Boletín Oficial del Estado nº 196, de fecha 16 de agosto de 2019. En el anuncio publicado en dicho Boletín se señala que la notificación se entenderá producida a todos los efectos legales desde el día siguiente al del vencimiento del plazo de 10 días hábiles fijado para comparecer, contados desde el siguiente al de la publicación del anuncio. No consta que el reclamado haya comparecido en el plazo señalado en el reseñado anuncio ni que producida la notificación de dicho acto, haya ejercido su derecho a la defensa formulando escrito de alegaciones o presentado pruebas en el plazo concedido a tales efectos. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha ***FECHA.1 el reclamado remitió un correo electrónico desde la cuenta ***EMAIL.1, con asunto “***ASUNTO.1”, a un total de 87 destinatarios cuyas cuentas de correo electrónico, entre las que se encontraba la dirección de correo electrónico del reclamante, resultaban visibles para el resto de destinatarios del envío. SEGUNDO: En el envío mencionado en el hecho probado anterior el reclamado promocionaba su candidatura para la Junta de Gobierno del Colegio Oficial de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Ingenieros Técnicos Industriales de Madrid en las elecciones a celebrar, en ese momento, el día 21 de enero de 2019, y el que se encuentra colegiado el reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 55.1, 56.2 y 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 64.2.
  3. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPACAP, dispone que: “El acuerdo de iniciación deberá contener al menos: (…)
  4. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” En el presente caso, el contenido del acuerdo de inicio del procedimiento observaba la prescripción detallada en el artículo 64.2.
  5. f)de la LPACAP, motivo por el cual, de conformidad con lo establecido en el reseñado precepto, el acuerdo de inicio del presente procedimiento sancionador es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada, y, tras su notificación en la forma descrita en el antecedente de hecho quinto, el reclamado no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento>> o <<responsable>>: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; >> 10) <<tercero>>: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado; De conformidad con dichas definiciones, el tratamiento de las direcciones de correo electrónico de los destinatarios del envío objeto de estudio constituye un tratamiento de datos de carácter personal, respecto del cual el responsable del tratamiento, en este caso, el remitente del envío que ha utilizado las direcciones de correo electrónico de los destinatarios del mismo, ha de dar cumplimiento a los principios relativos al tratamiento, entre los que se encuentra el principio de confidencialidad recogido en el artículo 5.1.
  6. f)del RGPD. Téngase en cuenta que las direcciones de correo electrónico utilizadas para la remisión del citado envío proporcionan información sobre personas físicas identificadas o identificables, máxime teniendo en cuenta que sus titulares son miembros del Colegio de Ingenieros Técnicos Industriales de Madrid. IV En el presente caso se imputa al reclamado una infracción del artículo 5.1. del RGPD, precepto que bajo la rúbrica “Principios relativos al tratamiento”, establece en su apartado
  7. f)que: “Los datos personales serán: (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>)” En relación con dicho precepto, el artículo 32.1.
  9. b)y 2 del RGPD, relativo a la “Seguridad del tratamiento”, establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: (…)
  10. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; (…) 2.Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. “ Por su parte, bajo la rúbrica “Deber de confidencialidad”, el artículo 5 de la LOPDGDD dispone que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  11. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.” En el presente caso el reclamante ha aportado copia de un correo electrónico remitido por el reclamado, con fecha 21 de diciembre de 2018, a un total de ochenta y siete destinatarios, grupo en el que el reclamante manifiesta se incluye, sin ocultarles a cada uno de ellos las direcciones de correo electrónico del resto de destinatarios a los que también se dirigía el envío con asunto “***ASUNTO.1”, ya que el reclamado no utilizó la opción de copia oculta. Dicha conducta constituye por parte del reclamado, en este caso remitente del citado envío y responsable del reseñado tratamiento de datos personales, una vulneración del principio de confidencialidad recogido en el artículo 5.1.
  12. f)del RGPD, puesto que al estar visibles las direcciones de correo electrónico de todos los destinatarios del envío difundió esa información de carácter personal entre todos ellos. V Los apartados b),
  13. d)e
  14. i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  15. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 (...) “
  16. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  17. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 1 y 5.
  18. a)señala que: ““1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: “
  19. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” Paralelamente, el artículo 72.1.
  20. a)de la LOPDGDD tipifica la infracción al principio de confidencialidad como muy grave a efectos de prescripción en los siguientes términos: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  21. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Con arreglo a los hechos que han resultado probados, y a la vista de lo razonado en el fundamento de derecho anterior, el reclamado resulta responsable de una vulneración del principio de confidencialidad recogido en el artículo 5.1.
  22. f)del RGPD, infracción tipificada en el artículo 83.5.
  23. a)del citado Reglamento y calificada como infracción muy grave a efectos de prescripción en el artículo 72.1.
  24. a)de la LOPDGDD. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
  25. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En el presente caso, se estima adecuado imponer la sanción de apercibimiento prevista en el artículo 58.2.
  26. b)del RGPD a la vista de las siguientes circunstancias: la actividad principal del reclamado no está vinculada con el tratamiento habitual de datos de carácter personal; que los destinatarios del envío estaban afectados por el mismo asunto sobre el que se les informaba; considerar que la multa administrativa que pudiera imponerse con arreglo a lo dispuesto en el artículo 83.5.
  27. a)del RGPD constituiría una carga desproporcionada para el reclamado, al que no le consta la comisión de ninguna infracción anterior en materia de protección de datos. Confirmada la infracción descrita, no consta acreditado en el procedimiento que el reclamado haya puesto en marcha medidas técnicas y organizativas tendentes a garantizar la seguridad y confidencialidad de los datos en tratamientos que, como el estudiado, afecten a un conjunto de titulares de direcciones de correo electrónico que vayan a ser destinatarios del mismo envío, de modo que se impida el acceso indebido de cada uno de ellos a las direcciones de correo electrónico del resto de destinatarios. Sentado lo anterior, se estima oportuno aplicar lo establecido en el citado artículo 58.2.
  28. d)del RGPD en orden a que, por parte del reclamado, se lleven a cabo las acciones necesarias (medidas técnicas y organizativas) para adecuar las operaciones de tratamientos de datos semejantes al estudiado al principio de confidencialidad recogido en el artículo 5.1.
  29. f)del RGPD. Se observa que el apartado 6 del artículo 83 del RGPD, establece que “6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 72.1.
  30. m)dispone que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  31. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” Por lo tanto, de acuerdo con la legislación aplicable y valoradas las circunstancias concurrentes en los hechos que han resultado probados, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don B.B.B., con NIF ***NIF.1, una sanción de APERCIBIMIENTO de conformidad con lo previsto en el artículo 58.2.
  32. b)del RGPD, como responsable de una infracción a lo previsto en el artículo 5.1.
  33. f)del RGPD, tipificada en el artículo 83.5.
  34. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 TERCERO: ORDENAR a Don B.B.B., de conformidad con lo dispuesto en el artículo 58.2.
  35. d)del RGPD, la adopción e implementación de las medidas técnicas y organizativas adecuadas para garantizar la confidencialidad de los datos concernientes a las direcciones de correo electrónico de un conjunto de destinatarios de un mismo envío, utilizando para ello la opción de envío con copia oculta a fin no revelar las direcciones de correo electrónico de los mismos a los restantes destinatarios. Dichas medidas habrán de adoptarse en el plazo de un mes, a contar desde el día siguiente a aquel en que se notifique al reclamado la resolución sancionadora, debiendo aportarse los medios de prueba acreditativos de su cumplimiento. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  36. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.