← España

PS-00227-2023

1/16  Expediente Nº: EXP202206008 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ALBEN AIRPORT FACILITIES S.L (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202206008 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Dª. A.A.A. (en adelante, la parte reclamante) con fecha 16 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra QUIRÓN PREVENCIÓN, S.L.U (en adelante, QUIRÓN). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que participó en una acción formativa impartida por AVSEC por medio de Quirón prevención y que, en fecha 9 de julio de 2021 esta remitió un correo electrónico a los participantes, incluyendo los certificados de realización del curso a todos los participantes, poniendo de manifiesto los datos de estos a todos los participantes en la formación, entre otros el nombre y apellidos, así como el número de DNI. Aporta imágenes del correo remitido y del contenido del mismo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a QUIRÓN, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 27 de mayo de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 24 de junio de 2022 se recibe en esta Agencia escrito de respuesta indicando (…) (…) TERCERO: La página web de FORMACIÓN AVSEC, que es la entidad que firma el correo y cuya dirección aparece en el mismo, incluye la siguiente información: "Toda la información contenida dentro del servidor formacionavsec.com es propiedad de ALBEN 4000 Ingenieria y Consultoria SLP quedando prohibida su divulgación, copia o distribución a terceros sin la previa autorización escrita de ALBEN 4000 Ingeniería y Consultoría SLP." Por ello, con fecha 4 de julio de 2022 y de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ALBEN 4000 CONSULTORIA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido ese mismo día, según consta en el acuse de recibo que obra en el expediente. Con fecha 13 de julio de 2022 se recibe en esta Agencia escrito de contestación en el que se hace constar que “…ALBEN 4000 CONSULTORIA es una sociedad que tiene por objeto el desarrollo de trabajos de ingeniería y consultoría en infraestructuras aeroportuarias y nunca se ha dedicado a la impartición de cursos de seguridad aeroportuaria, ni, concretamente, tampoco ha impartido el “Curso de Concienciación de Seguridad Aeroportuaria” ni a Dª. A.A.A. ni a ninguna otra persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 QUE ALBEN 4000 CONSULTORIA no está homologada por la AESA para dar esta formación. QUE se puede apreciar que ALBEN 4000 CONSULTORIA no aparece nombrado en ningún momento en el certificado que se adjunta en el anexo I de la reclamación, ni en ningún otro documento presentado por la reclamante…”. CUARTO: Con fecha 15 de julio de 2022 se dio traslado de dicha reclamación a ALBEN AIRPORT FACILITIES S.L, con NIF B45850336 (en adelante, ALBEN) para que procediese al análisis de la reclamación presentada e informase a esta Agencia en el plazo de un mes; si bien, no se ha recibido respuesta al mismo. QUINTO: Con fecha 16 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 17 de febrero de 2023 se solicita a la parte reclamante información para confirmar si el correo se recibió en la dirección de correo particular de la reclamante como copia oculta o si se recibió únicamente en la dirección de correo (...)@quironprevencion.com, así como el listado de personas que tienen acceso a dicha dirección de correo, siendo notificado el requerimiento con fecha 27 de febrero de 2022; si bien, no se ha recibido contestación. Con fecha 17 de febrero de 2023 se remite un requerimiento de información a QUIRÓN para aclarar qué personas tienen acceso a la dirección de correo en la cual se recibió el correo electrónico objeto de la reclamación, así como posibles desvíos de correo desde esa dirección e información sobre la contratación del curso de formación origen del certificado en cuestión. QUIRÓN remite su escrito de alegaciones con fecha 3 de marzo de 2023 al que acompaña con la siguiente documentación, en la que se especifica la contratación del curso de formación: 1.- Contrato marco de prestación de servicios de formación, entre QUIRÓN y ALBEN AIRPORT, con fecha 16 de julio de 2020. 2.- Pliego de prescripciones técnicas para la prestación de servicio de actividades específicas en materia de prevención de riesgos laborales, así como asesoramiento y soporte al servicio mancomunado de prevención de riesgos laborales de AENA (SPMA). Asimismo, proporciona un listado del personal de QUIRÓN que tiene acceso a la dirección de correo (...)@quironprevencion.com, la cual “no se utiliza para el envío de certificados, sino para su recepción al objeto de comprobar y cumplir los trámites requeridos […]”. “En ningún momento, dicha cuenta fue utilizada para reenviar correos recibidos en ésta a correos electrónicos particulares.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Prosigue indicando que el correo objeto de la denuncia fue enviado desde la dirección cursos@formacionavsec.com por ALBEN AIRPORT “con los diplomas en copia visible a los trabajadores de QUIRÓN desplazados en AENA, a las direcciones de correo personales y al área de coordinación de actividades empresariales de QUIRÓN a través de la dirección de correo electrónico mencionado anteriormente”. (Nota: el subrayado ha sido incorporado por la Agencia) Con fecha 17 de febrero de 2023 se remite una solicitud de información a ALBEN4000 para aclarar, entre otros asuntos, las relaciones entre las entidades ALBEN y el dominio formacionavsec. ALBEN4000 remite su contestación a esta Agencia con fechas 2 de marzo de 2023 y 3 de marzo de 2023, siendo ambas respuestas idénticas salvo el representante que ha presentado la documentación en la Oficina de Registro General, aportando la siguiente documentación y manifestaciones: .- Que ALBEN4000 “tiene por objeto el desarrollo de trabajos de ingeniería y consultoría en infraestructuras aeroportuarias y nunca se ha dedicado a la impartición de cursos de seguridad aeroportuaria.” .- Que ALBEN4000 no guarda relación con ALBEN AIRPORT. “No existe relación de dependencia entre ambas, ni en la actualidad los propietarios de su capital social son los mismos, ni forman parte de un mismo grupo societario.” .- Que el dominio formacionavsec.com es una plataforma que permite a entidades como la ALBEN AIRPORT la impartición de formación. “No obstante, formacionavsec.com se limita a facilitar los medios para impartir la formación, quedando el resto en manos de quien imparte la formación.” .- Que el citado dominio pertenece a D. B.B.B., propietario de ALBEN 4000, “pero que vendió sus participaciones a SONDEOS, ESTRUCTURAS Y GEOTECNIA S.L. mediante permuta de participaciones de fecha 8 de agosto de 2018 por la que D. B.B.B. entregaba sus participaciones de ALBEN 4000 CONSULTORA SL a SONDEOS, ESTRUCTURAS Y GEOTECNIA y a cambio el recibía una participación minoritaria de en SONDEOS, ESTRUCTURAS Y GEOTECNIA S.L.” ALBEN 4000 aporta la escritura de permuta de participaciones. .- Que SONDEOS, ESTRUCTURAS Y GEOTECNIA S.L. nunca ha tenido ninguna relación con el dominio formacionavsec.com. .- Que, en consecuencia, no puede responder a las cuestiones planteadas “porque la entidad que imparte la formación no es ALBEN 4000, si no ALBEN AIRPORT FACILITIES SL, y la plataforma de la que se vale la sociedad para la impartición de ese curso no es la responsable de remitir esos correos.” El escrito respuesta está firmado por C.C.C. en su calidad de (…) de SONDEOS ESTRUCTURAS Y GEOTECNIA SL (sociedad absorbente de ALBEN4000). Aporta escritura firmada de la fusión por absorción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Con fecha 17 de febrero de 2023 se remite un requerimiento de información a ALBEN AIRPORT, que no atiende la solicitud de información de la Agencia. Con fecha 13 de marzo de 2023 se consulta de nuevo la pestaña “Quienes somos” en la página web de formacionavsec.com. Se evidencia que el texto ha sido modificado y ahora indica "FormacionAvsec (ALBEN Airport Facilities SL) viene impartiendo formación en Seguridad Operacional desde hace más de 7 años siendo una de las plataformas que ha liderado la capacitación de multitud de empresas y trabajadores en temas relacionados con el AVSEC. […]" Ante la ausencia de respuesta de ALBEN AIRPORT y, puesto que el administrador único de ALBEN AIRPORT es la persona que firma el escrito de respuesta al traslado de ALBEN4000, con fecha 14 de marzo de 2023 se remite de nuevo una solicitud de información a ALBEN4000 para aclarar ciertos aspectos de la investigación. Esta entidad envía su respuesta con fecha 21 de marzo de 2023 manifestando de nuevo que ALBEN4000 no guarda relación alguna con la sociedad ALBEN AIRPORT. “No existe relación de dependencia entre ambas sociedades, ni en la actualidad los titulares de su capital social son los mismos, ni forman parte de un mismo grupo societario, ni existe relación mercantil que una a ambas sociedades, por lo que esta parte desconoce porque ALBEN AIRPORT utiliza el dominio formacionavsec.com porque no tiene ninguna relación con la misma.” Y que, por tanto, no puede aportar los logs solicitados. También aclara que por error en su anterior respuesta se había indicado que el dominio formacionavsec.com pertenece a D. B.B.B., cuando en realidad pertenece a ALBEN AIRPORT. Aporta como Anexo el documento de titularidad del dominio formacionavsec.com. Solicitado al Servicio de Planificación y Relaciones Institucionales de la Agencia Estatal de Administración Tributaria (en adelante, AEAT) confirmación del domicilio fiscal de ALBEN AIRPORT, con fecha 30 de marzo de 2023 se recibe en esta Agencia respuesta por parte de la AEAT, que proporciona el domicilio fiscal vigente ***DIRECCIÓN.1, que coincide con la dirección especificada en AXESOR y a la que se había enviado la notificación postal que consta como Devuelta al origen por desconocido. Solicitada información al Catastro sobre los titulares de dicho inmueble el día 29 de marzo de 2023 a través del servicio de Consulta de bienes e inmuebles, se comunica a la Agencia que los titulares son: .- NIF: ***NIF.1 Nombre del titular: D.D.D. .- NIF: ***NIF.2 Nombre del titular: E.E.E. Ambos con Derecho propiedad: XX,XX% de Propiedad. En principio estos titulares no parecen tener relación con la empresa ALBEN AIRPORT. Con fecha 31 de marzo de 2023 se remite de nuevo el requerimiento de información a ALBEN AIRPORT (por ambos medios, electrónico y postal) y se envía simultáneamente un aviso a la dirección de correo cursos@formacionavsec.com en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 que se informa sobre la puesta a disposición de una notificación electrónica. Esta notificación es aceptada en el servicio de Dirección Electrónica Habilitada Única (DEHÚ) con fecha 31 de marzo de 2023 por B.B.B.; si bien, no se ha recibido contestación. Con fecha 10 de abril de 2023 se solicita aclaraciones a QUIRÓN sobre su respuesta al primer requerimiento, con el objetivo de confirmar una fecha, posible error tipográfico, conocer el protocolo de contratación de las actividades formativas y evidenciar que las comunicaciones entre ambas empresas no están cifradas, a pesar de que en el contrato se estipula que los datos personales no se pueden enviar en claro electrónicamente. QUIRÓN reconoce que en su anterior respuesta se refieren al correo recibido el 9 de julio de 2021 en vez de la fecha 16 de junio de 2020: “fue una confusión en la redacción.” Respecto al correo electrónico objeto de la reclamación, comunica que no dispone de copia del correo en cuestión. Aporta como evidencias los documentos que aportó la parte reclamante en su escrito. En relación con la comunicación a ALBEN AIRPORT sobre el número de participantes de la actividad formativa y los datos personales que necesitan para gestionarla, QUIRÓN proporciona como Anexo II el Procedimiento ALBEN AIRPORT FACILITIES S.L., Formaciones AVSEC. SÉPTIMO: ALBEN AIRPORT FACILITIES S.L es una microempresa con un volumen de ventas de 66.163 € (SESENTA Y SEIS MIL CIENTO SESENTA Y TRES EUROS). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 En el presente caso, la parte reclamada ha enviado a la parte reclamante un correo electrónico desde la cuenta formacionavsec.com, correo al que se adjuntaban los certificados de realización de un curso de los catorce participantes en la formación. En tales certificados figuran datos de carácter personal como el nombre, apellidos y DNI. De acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ALBEN realiza, entre otros tratamientos, la recogida, conservación, utilización de los siguientes datos personales de personas que acceden a sus cursos de formación, tales como: nombre y apellidos, DNI. ALBEN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad; como consecuencia del envío de un correo electrónico a la reclamante que incluía los certificados de realización del curso de todos los participantes en la formación, poniendo de manifiesto los datos de estos a la reclamante, entre otros, nombre y apellidos, así como el número de DNI. La seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD, que regulan tanto la seguridad del tratamiento, la notificación de una violación de la seguridad de los datos personales a la autoridad de control, así como la comunicación al interesado, respectivamente. III Artículo 5.1.

  1. f)del RGPD El artículo 5.1.
  2. f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, queda acreditado que se ha producido un acceso no autorizado a los datos personales del resto de participantes en la formación, vulnerándose el principio de confidencialidad, al haberse enviado un correo electrónico a los participantes en la formación que incluía los certificados de realización del curso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 cada uno de ellos, poniéndose de manifiesto los datos de estos, tales como nombre y apellidos, así como el número de DNI. De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ALBEN, por vulneración del artículo 5.1.
  4. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
  5. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  6. f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  7. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  8. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
  9. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la insC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 trucción, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
  10. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. ALBEN se dedica a la formación de empresas, actividad profesional sometida al deber de confidencial respecto de los participantes en sus distintos cursos y, que supone un continúo tratamiento de datos. En la impartición de dichos cursos se recoge numerosa información personal relativa a sus participantes. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  11. f)del RGPD, permite fijar inicialmente una sanción de 1500 € (MIL QUINIENTOS EUROS). VI Artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  12. a)la seudonimización y el cifrado de datos personales;
  13. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  14. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  15. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Es de resaltar que en el contrato de Encargado del tratamiento entre QUIRÓN y ALBEN se indica que “Los datos personales sólo podrán distribuirse a través de redes de comunicaciones electrónicas si se han encriptado, cifrado o se utiliza cualquier otro mecanismo para garantizar que la información no es inteligible o no es manipulada por terceros.” Sin embargo, las imágenes del correo electrónico objeto de la reclamación aportadas como evidencia muestran un mensaje no cifrado. Adicionalmente, el procedimiento que establece las comunicaciones entre QUIRÓN y ALBEN (“Procedimiento ALBEN AIRPORT FACILITIES S.L., Formaciones AVSEC”) aportado por QUIRÓN indica que las comunicaciones entre QUIRÓN y ALBEN se realizan por correo electrónico y no se especifica que se utilice cifrado. En este procedimiento se especifica que ALBEN AIRPORT envía las acreditaciones en dos envíos, uno de manera personalizada y otro envío a QUIRÓN a la dirección corporativa. El correo objeto de la reclamación es un único correo. En consecuencia, en el presente caso y en el momento de producirse la brecha, es evidente que ALBEN carecía de medidas de seguridad razonables en función de los posibles riesgos estimados, así como que la información y formación dirigida al personal que había de realizar los tratamientos con datos personales era del todo insuficiente, concretamente, respecto al envío de correos electrónicos. Por todo ello, de conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ALBEN, por vulneración del artículo 32 del RGPD. VII Tipificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 se de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 5) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: …
  16. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. VIII Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
  17. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. ALBEN se dedica a la formación de empresas, actividad profesional sometida al deber de confidencial respecto de los participantes en sus distintos cursos y, que supone un continúo tratamiento de datos. En la impartición de dichos cursos se recoge numerosa información personal relativa a sus participantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar inicialmente una sanción de 1000 € (MIL EUROS). IX Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  18. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ALBEN AIRPORT FACILITIES S.L, con NIF B45850336, por la presunta infracción del Artículo 5.1.
  19. f)del RGPD, tipificada en el Artículo 83.5 del RGPD y por la presunta infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. SEGUNDO: NOMBRAR como instructor/a a F.F.F. y, como secretario/a, a H.H.H., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  20. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, sin perjuicio de lo que resulte de la instrucción, la sanción que pudiera corresponder sería, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 - Por la supuesta infracción del artículo 5.1.
  21. f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 1500,00 euros - Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 1000,00 euros QUINTO: NOTIFICAR el presente acuerdo a ALBEN AIRPORT FACILITIES S.L, con NIF B45850336, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  22. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 2.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 2.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 1.500,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (2.000,00 euros o 1.500,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-290523 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 6 de julio de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1500 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202206008, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ALBEN AIRPORT FACILITIES S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  23. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.