← España

PS-00218-2019

1/7 * Procedimiento Nº: PS/00218/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de febrero de 2019 se registra de entrada en esta Agencia escrito procedente de la Autoridad Catalana de Protección de Datos adjuntando la reclamación formulada por Don A.A.A., (en adelante, el reclamante), contra la mercantil ICONDUCE SOY 18, S.L., (en adelante, el reclamado), con motivo de unos hechos que recaen bajo la competencia de la AEPD. En la reclamación, el reclamante expone que la citada mercantil le ha remitido un correo electrónico, difundiendo, sin copia oculta, las direcciones de correo electrónico de diversos clientes de esa entidad. Junto a la reclamación, se adjunta impresión de un correo electrónico remitido, con fecha 6 de febrero de 2019, desde la cuenta ***EMAIL.1 a un total de 70 destinatarios cuyas cuentas de correo electrónico, entre las que se encuentra la dirección de correo ***EMAIL.2 del reclamante, resultan visibles para el resto de destinatarios del envío. El correo electrónico aportado tiene como asunto “Contrato Autoescuela Caducado” y presenta el siguiente texto: “Hola buenas tardes el motivo de este email es para comunicarte que tu contrato ha caducado, hemos realizado una campaña con un contrato especial para ti, para que puedas continuar con nosotros y que así obtengas el carnet de conducir y con regalo de prácticas (coche y simulador) si quieres recibir la información con todo detalle puedes llamar al ***TELÉFONO.1 o por watssap (10:00 a 13:00 y de 16:00 a 21:00) , así te podré aconsejar que opción es la más recomendable y ayudarte a retomarlo en cuanto antes, que pases buenas tardes. Saludos. B.B.B. SOY18 Autoescuela. Risas y Carnet a la Primera.” SEGUNDO: Tras la recepción de la reclamación, con fecha con fecha 14 de marzo de 2019, se trasladó copia de la misma al reclamado solicitándole, entre otros extremos, la siguiente información relacionada con los hechos expuestos en el Antecedente anterior: Informe sobre las causas que han motivado la incidencia que ha originado la reclamación; Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares; Cualquier otra que considere conveniente. El envío se entregó al reclamado con fecha 24 de marzo de 2019, conforme figura en la en el certificado expedido por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre. El reclamado no contestó la solicitud de información en el plazo de un mes contado desde la recepción de la citada notificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: Con fecha 19 de septiembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de apercibimiento al reclamado, por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el artículo 83.5.
  2. a)del RGPD. En dicho acuerdo de inicio acordaba que, “de confirmarse la existencia de la infracción descrita, a los efectos previstos en el artículo 58.2.
  3. d)del RGPD las medidas correctivas que podrán imponerse al reclamado en la resolución, consistirán, a la vista de los elementos de juicio disponibles en este momento, en ORDENARLE la adopción de medidas técnicas y organizativas adecuadas para garantizar la confidencialidad de los datos concernientes a las direcciones de correo electrónico de los destinatarios de un mismo envío cuando no medie legitimación para su comunicación o difusión a terceros, utilizando para ello la opción de envío con copia oculta a fin no revelar las direcciones de correo electrónico de los mismos a los restantes destinatarios. Dichas medidas habrán de adoptarse, en su caso, en el plazo que se señale computado desde la fecha en la que se le notifique la resolución sancionadora, debiendo aportarse los medios de prueba acreditativos de su cumplimiento, sin perjuicio su implementación previa a dicha resolución.” CUARTO: Notificado el citado acuerdo de inicio, con fecha 1 de octubre de 2019 se registra de entrada escrito del reclamado en el que se señala un error personal y puntual como causa de que todas las cuentas de correo resultaran visibles para todos los destinatarios del envío, puesto que conocen que todos los correos que se remiten a más de un destinatario deben remitirse con copia oculta. Puntualizan que si bien se comenzó a trabajar en los protocolos necesarios para no volver a generar incidencias similares tan pronto como se recibió, con fecha 24 de marzo de 2019, el traslado de la reclamación y requerimiento de información, sin embargo, debido a una falta de coordinación interna no se remitió a la AEPD informe explicativo de las causas de la incidencia y medidas adoptadas al respecto, cuyo detalle reseñan y figura expuesto en el Hecho Probado Segundo. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 6 de febrero de 2019 el reclamado remitió un correo electrónico desde la cuenta ***EMAIL.1, con asunto “Contrato Autoescuela Caducado”, a un total de 70 destinatarios cuyas cuentas de correo electrónico, entre las que se encontraba la dirección de correo electrónico del reclamante, resultaban visibles para el resto de destinatarios del envío. SEGUNDO: El reclamado ha manifestado que tras conocer en marzo de 2019 la incidencia objeto de la reclamación adopto las siguientes medidas: - Reducir al mínimo indispensable la relación de personas que en la empresa tienen acceso a los datos de los alumnos y están autorizados para enviar comunicados. - C/ Jorge Juan, 6 28001 – Madrid Formar a estas personas para asegurar el cumplimiento del RGPD. www.aepd.es sedeagpd.gob.es 3/7 - Utilizar la plataforma de envío de mailing “Mailchimp”, cuyo funcionamiento a través de listas de distribución predeterminadas evita el envío por error de mails sin copia oculta. - Que con independencia del medio utilizado para remitir cualquier comunicado el tratamiento de los datos personales de los interesados se ajuste al principio de licitud del tratamiento, en especial en lo relativo al consentimiento de los interesados. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 55.1, 56.2 y 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 64.2.
  4. d)de la Ley del Procedimiento Administrativo Común de las Administraciones Públicas, (en adelante LPACAP), referido al “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora”, dispone que: 2. El acuerdo de iniciación deberá contener al menos: (…)
  5. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.” A su vez, el artículo 85.1 de la LPACAP, en lo que respecta a la “Terminación en los procedimientos sancionadores”, establece que: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda.” En el presente caso, el contenido del acuerdo de inicio del procedimiento notificado al reclamado observaba las prescripciones detalladas en los reseñados preceptos. En particular, en dicho acuerdo se advertía “ de que según lo previsto en el artículo 85.1 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio, pudiendo, en ese caso, resolverse el procedimiento con la imposición de la sanción que proceda. “ En este caso, con arreglo a los efectos previstos en el transcrito artículo 85.1 de la LPACAP, y teniendo en cuenta que el reclamado en su escrito de alegaciones ha reconocido su responsabilidad en la remisión del correo electrónico estudiado a una pluralidad de destinatarios al no haber utilizado, debido a un error puntual, la opción de copia oculta, resultando así todas las cuentas de correo visibles para todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 destinatarios del envío, procede resolver el procedimiento con la imposición de la sanción que proceda. III El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento>> o <<responsable>>: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; >> 10) <<tercero>>: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado; De conformidad con dichas definiciones, el tratamiento de las direcciones de correo electrónico de los destinatarios del envío objeto de estudio, entre las que figura la cuenta de correo electrónico del reclamante, para comunicarles la caducidad del contrato suscrito con el reclamado constituye un tratamiento de datos de carácter personal, respecto del cual el responsable del tratamiento ha de dar cumplimiento a los principios relativos al tratamiento, entre los que se encuentra el principio de confidencialidad recogido en el artículo 5.1.
  6. f)del RGPD. Téngase en cuenta que las direcciones de correo electrónico utilizadas para la remisión del citado envío proporcionan información sobre personas físicas identificadas o identificables, ya que se trata de un envío dirigido a alumnos del reclamado. IV En el presente caso se imputa al reclamado una infracción del artículo 5.1. del RGPD, precepto que bajo la rúbrica “Principios relativos al tratamiento”, establece en su apartado
  7. f)que: “Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>)” Por su parte, bajo la rúbrica “Deber de confidencialidad”, el artículo 5 de la LOPDGDD dispone que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  9. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.” En el presente caso el reclamado ha reconocido la remisión, con fecha 6 de febrero de 2019, de un correo electrónico a un total de setenta destinatarios sin ocultarles a cada uno de ellos las direcciones de correo electrónico del resto de destinatarios a los que también se dirigía el envío con asunto “Contrato Autoescuela Caducado”. ya que no utilizó la opción de copia oculta. Dicha conducta constituye por parte del reclamado, en este caso remitente del citado envío y responsable del reseñado tratamiento de datos personales, una vulneración del principio de confidencialidad recogido en el artículo 5.1.
  10. f)del RGPD, infracción tipificada en el artículo 83.5.
  11. a)del citado Reglamento y calificada como infracción muy grave a efectos de prescripción en el artículo 72.1.
  12. a)de la LOPDGDD, puesto que al estar visibles las direcciones de correo electrónico de todos los destinatarios del envío difundió esa información de carácter personal entre todos ellos. V Los apartados b),
  13. d)e
  14. i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  15. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  16. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  17. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 1 y 5.
  18. a)señala que: ““1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: “
  19. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” Paralelamente, el artículo 72.1.
  20. a)de la LOPDGDD tipifica la infracción al principio de confidencialidad como muy grave a efectos de prescripción en los siguientes términos: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  21. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” En el presente caso, se estima adecuado imponer la sanción de apercibimiento prevista en el artículo 58.2.
  22. b)del RGPD a la vista de las siguientes circunstancias: la actividad principal del reclamado no está vinculada con el tratamiento habitual de datos de carácter personal; que los destinatarios del envío estaban afectados por el mismo asunto sobre el que se les informaba; considerar que la multa administrativa que pudiera imponerse con arreglo a lo dispuesto en el artículo 83.5.
  23. a)del RGPD constituiría una carga desproporcionada para el reclamado. Confirmada la infracción descrita, el reclamado ha manifestado haber puesto en marcha un conjunto de medidas técnicas, organizativas y de formación tendentes a garantizar la seguridad y confidencialidad de los datos en tratamientos que, como el estudiado, afecten a un conjunto de titulares de direcciones de correo electrónico que vayan a ser destinatarios del mismo envío, de modo que se impida el acceso indebido de cada uno de ellos a las direcciones de correo electrónico del resto de destinatarios, motivo por el cual se estima oportuno no aplicar lo establecido en el citado artículo 58.2.
  24. d)del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valoradas las circunstancias concurrentes en los hechos que han resultado probados, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ICONDUCE SOY 18, S.L., con NIF B66809666, una sanción de APERCIBIMIENTO de conformidad con lo previsto en el artículo 58.2.
  25. b)del RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 como responsable de una infracción a lo previsto en el artículo 5.1.
  26. f)del RGPD, tipificada en el artículo 83.5.
  27. a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a ICONDUCE SOY 18, S.L. con NIF B66809666. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.