PS-00210-2019

1/7  Procedimiento Nº: PS/00210/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00210/2019, instruido por la Agencia Española de Protección de Datos a EUSKALTEL, S.A. (en lo sucesivo el reclamado), vista la denuncia presentada por Dña. A.A.A. (en lo sucesivo el reclamante), y en base a los siguientes ANTECEDENTES PRIMERO: La afectada con fecha 25/01/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. El escrito se dirige contra el reclamado siendo los motivos en los que basa su reclamación, en síntesis, los siguientes: el 17/12/2018 adquirió un teléfono en la citada compañía, solicitando también un duplicado de la tarjeta SIM de su número de teléfono; el 19/12/2018 le llegó un albarán con los datos de una señora de Vitoria, por lo que llamo a la compañía para indicárselo, solicitándole aquella que lo destruyese e informándole que le enviarían el albarán correcto; por lo anterior interpuso reclamación en el Departamento de Reclamaciones de la entidad al suponer que su albarán habría sido remitido a la señora de Vitoria; el 22/12/2018 recibió un whatsapp de un señor en el que le informaba haber recibido su albarán, enviándole una foto del mismo; el 28/12/2018 recibió una llamada telefónica del Departamento de Reclamaciones para resolver su reclamación y pidiéndole disculpas por lo ocurrido, aunque se negaron a enviar la resolución por escrito; posteriormente recibió un sobre con un albarán pero de su teléfono móvil, puesto que el albarán del duplicado de la SIM es el de la foto que le había enviado el tercero por whatsapp. - Aporta: Copia del whatsapp Reclamación ante Euskaltel SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 26/02/2019 fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 22/05/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. TERCERO: Con fecha 09/07/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.

1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones el 23/07/2019 manifestando, en síntesis: que el requerimiento de información recibido el 27/02/2019 fue respondido por el DPD de la entidad; que el incidente ocurrido fue originado por la actuación de un proveedor siendo adoptada las medidas oportunas en el momento en el que fue presentada la reclamación; que el reclamado no tiene responsabilidad alguna en el incidente siendo responsable el proveedor como encargado del tratamiento quien ha reconocido su responsabilidad en los hechos. QUINTO: Con fecha 21/08/2019, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00210/2019 presentadas por EUSKALTEL y la documentación que a ellas acompaña. - Solicitar a la reclamante documentación que obre en su poder relacionada con procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados. SEXTO: En fecha 18/11/2019, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a EUSKALTEL por infracción del artículo por una infracción del artículo 5.1.
2. f)del RGPD, tipificada en el artículo 83.5.
3. a)del citado Reglamento una multa de 50.000 € (cincuenta mil euros). Asimismo, se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de EUSKALTEL presentó el 12/12/2019 escrito en el que reiteraba las alegaciones vertidas durante el procedimiento y además de la responsabilidad y de las medidas adoptadas por la entidad incidiendo en que todo se había debido a un error humano involuntario y aislado; la actuación de mala fe de la reclamante que inicialmente exigió un pago para no presentar reclamación ante la Agencia; la procedencia del archivo del expediente, subsidiariamente el apercibimiento y si no fueran consideradas las anteriores solicitudes la minoración de la cuantía a imponer. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 03/12/2018 tiene entrada en la Agencia Española de Protección de Datos escrito de la afectada en el que reclama a la entidad, en síntesis, la ausencia de confidencialidad en el tratamiento de sus datos. SEGUNDO: Consta aportada copia del DNI de la reclamante nº ***NIF.1. TERCERO: Consta whatsapp recibido por la reclamante el 22/12/2018 remitido desde el número ***TELÉFONO.1 en el que figura el siguiente texto: “Hola! Te escribo para comentarte que me ha legado una tarjeta SIM con una documentación en la que aparecen tus datos. La tarjeta es la mía, pero se habrán confundido con la hoja que mandan junto a esta. Te la adjunto. No si a ti te habrán mandado la mía” Asimismo, consta whatsapp de 27/12/2018 en el que figuran los siguientes textos: “Creo que no, ahora lo miro cuando vuelva a casa” “Disculpa, para poder poner una reclamación en la AEPD necesito adjuntar una captura de pantalla de que tu recibiste mis datos, tengo que pedirte permiso para que pueda adjuntarla. ¿Me das tu permiso?” “Si por mi perfecto” “Muchas gracias” CUARTO: Consta aportada captura de pantalla en el que figura fotografía de Albaran de entrega en el que figuran los datos personales de la reclamante: nombre y apellidos, domicilio, NIF, teléfono fijo y móvil; los datos del envío: nº de albaran, nº de envio, nº de bultos, almacén de envío, fecha albarán, etc.; datos de la entidad remitente EUSKALTEL; el concepto del envío: tarjeta SIM triple corte 2FF/3FF/4 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Los hechos denunciados se concretan en el envío por el reclamado de los datos de carácter personal, incluidos en el albarán de entrega del duplicado de la tarjeta SIM, a un tercero vulnerando el deber de confidencialidad. El artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
5. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. III De la documentación aportada se desprende que el reclamado remitió a un tercero tarjeta SIM con documentación en la que figuran los datos de la reclamante (nombre, apellidos, NIF, teléfono, domicilio, etc). Se hace necesario subrayar que el tercero al que EUSKALTEL envió tal documentación tuvo acceso y conocimiento de los datos personales comunicados, toda vez que -como se expone en los hechos probados - el tercero contactó telefónicamente con la reclamante para informarle de lo sucedido. Así, la reclamante declaró que el 22/12/2018 recibió un whatsapp de un señor en el que le informaba haber recibido su albarán, enviándole una imagen del mismo; incidente que también ha sido confirmado por el reclamado. No obstante, en escrito de alegaciones EUSKALTEL ha manifestado su falta de responsabilidad en los hechos reclamados puesto que la perdida de confidencialidad de los datos del reclamante se debe a la actuación imputable al proveedor de entrega de SIMs. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 El reclamado, una vez realizadas las investigaciones oportunas sobre la incidencia producida, quedó determinado que no se había producido un cruce masivo de datos sino un hecho puntual e involuntario consecuencia de la actuación del proveedor DHL EXEL SUPLY CHAIN contratado para estas funciones y único responsable de los hechos, quien confirmo el error producido durante el proceso manual de ensobrado al introducir los albaranes en sobre equivocados. Hay que hacer constar que en un supuesto similar al rclamado, la Audiencia Nacional estimó el Recurso interpuesto, en Sentencia de fecha 23/12/2013, indicando lo siguiente: “Los hechos por los que fue impuesta la multa aquí recurrida se contraen a que, en fecha 5 de enero de 2011, una persona (que luego formuló denuncia ante la Agencia de Protección de Datos), había recibido en su cuenta de correo electrónico una póliza de seguro, acompañada de las condiciones particulares, a nombre de un tercero y expedida por MAPFRE. Y así, por ello, la Agencia de Protección de Datos consideró infringido el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por contravención del deber del secreto y de adecuada custodia de los datos de carácter personal, dado que los datos de aquel tercero llegaron a conocimiento del denunciante. En impugnación de la resolución antedicha, la parte recurrente indica que el envío de una póliza de seguros referente a tercero, en el correo electrónico del denunciante, se debió un error involuntario en el proceso de mecanización del dato de la dirección de aquél en el momento de dar cumplimiento a su solicitud de remisión de un duplicado de su póliza de seguro. En concreto indica que se produjo una mera equivocación puntual y aislada por parte de la tramitadora que gestionó aquella solicitud de duplicado de póliza. Y dice que dicho error no produjo perjuicio alguno ni al denunciante ni al tomador de la póliza ni tampoco beneficio a MAPFRE.” (…) Añadiendo, a su vez, en su Fundamento de Derecho Cuarto lo siguiente: “En un caso similar al suscitado en el presente recurso, en el que hemos de poner en relación la concurrencia de un error humano, concreto y aislado, y el principio de culpabilidad (aun a título de “simple inobservancia”) se ha pronunciado esta Sala en su Sentencia de 14 de diciembre de 2006 (autos de recurso 136/2005). En dicha Sentencia decíamos que: «La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, “…puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho”. En esta misma línea, el Tribunal Supremo considera que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. Pues bien, la aplicación de la citada Doctrina al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo». La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional.(…) Esta conclusión resulta, a juicio de la Sala, contraria al principio de presunción de inocencia…y del principio de culpabilidad, lo que nos lleva a la estimación del presente recurso y a la anulación del acto impugnado.” Por tanto, así las cosas, no se aprecia, en este caso, incumplimiento del deber de secreto. No obstante, se le recuerda a la entidad denunciada que habrá de extremar las precauciones y amonestar a su proveedor al objeto de evitar conductas como las descritas en la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Por ello, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a EUSKALTEL, S.A., con NIF A48766695, por la presunta infracción el artículo 5.1.
6. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a EUSKALTEL, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
7. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es