← España

PS-00243-2024

1/14  Expediente N.º: EXP202318659 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de octubre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la ASOCIACIÓN NACIONAL DE TASADORES Y PERITOS JUDICIALES INFORMÁTICOS con NIF G86165743 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en la web ***WEB.1 se encuentra publicado, sin su consentimiento, un Auto en el que se hacen públicos sus datos personales, como serían, nombre y apellidos. Según indica la parte reclamante, la parte reclamada, que no es parte personada en el proceso judicial con el que se relaciona el Auto publicado, carecería de legitimación para realizar esta publicación, con la que se persigue dañar su imagen y confundir con engaños a los tribunales de justicia. Manifiesta que ha dirigido burofax a la dirección postal que figura en la Política de Privacidad de la entidad, ***DIRECCIÓN.1, para solicitar la supresión de sus datos y retirada de la publicación, siendo devuelto el burofax por "Desconocido", por lo que remitió nueva solicitud a la dirección que, de la entidad reclamada, figura asimismo en la web de la entidad, calle ***DIRECCIÓN.2, que figura recogida en fecha 13 de septiembre de 2023, sin haber recibido contestación a su petición y siguiendo expuestos sus datos en la citada publicación al tiempo de su reclamación. En la misma reclamación se añade que el aviso de privacidad disponible en la web de la parte reclamada se advierte de que los datos personales serán tratados fuera de la Unión Europea, por lo que se estarían transfiriendo a países extracomunitarios. Junto a la notificación se aporta documentación acreditativa de la remisión de burofaxes a las direcciones que figuran en la web de la entidad reclamada solicitando la supresión de sus datos, acuses de recibo de dichos burofax y contenido publicado. SEGUNDO: Con fecha 20/12/2023, por la AEPD se accede a la web de la parte reclamada comprobando que el auto al que se refiere la reclamación, mencionado en el Hecho anterior, sigue insertado en la misma y accesible a terceros sin restricción alguna. Además, en fecha 21/12/2023, se accede igualmente a la web de la parte reclamada y se obtiene copia de la política de privacidad disponible. Se comprueba que este documento incluye, entre otra, la información siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 “1.- ¿Quién es el Responsable del tratamiento de tus datos? Identidad (…) Dirección postal Calle Ponzano 52. 28005 Madrid”. “5. ¿Se comunican tus datos a otros destinatarios? Los datos que introduces en la web no serán comunicados a otras entidades, salvo por imperativo legal o para poder dar cumplimiento al objeto para el cual fueron facilitados. En este sentido y a modo de ejemplo, te indicamos que tus datos se recogen a través de los formularios insertados en nuestra web que está alojada en los servidores de la empresa de hosting https://www.hostmonster.com/situada en EE. UU., por tanto, tus datos salen de la Unión Europea”. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 2 de enero de 2024, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal reiterándose el traslado en fecha 5 de enero de 2024 por correo postal certificado, que fue nuevamente devuelto por "desconocido”. No se ha recibido respuesta a este escrito de traslado. CUARTO: Con fecha 16 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 13 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, y por la presunta infracción del Artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se remitió a la parte reclamada conforme a LPACAP mediante correo postal certificado, fue devuelto por “desconocido” tras la práctica de un intento de notificación en la forma prevista en el artículo 42.2 de la LPACAP, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 Finalmente, se ha publicado anuncio de notificación en el BOE del 9 de enero de 2025, con el ID: (...), según lo dispuesto en el artículo 44 de la LPACAP, concediendo un plazo de diez días hábiles contados desde el día siguiente al de la publicación del anuncio para que la parte reclamada pueda solicitar una copia del documento correspondiente al acto administrativo señalado. No habiendo comparecido en el plazo establecido a tal efecto, la notificación se entiende practicada a todos los efectos legales desde el día siguiente al del vencimiento del plazo máximo señalado para comparecer, en este caso, el 24 de enero de 2025. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.

  1. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  2. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta en el expediente evidencia de fecha 20 de diciembre de 2023, recogida por esta Agencia, de la página web ***WEB.1, en cuyo contenido se encuentra publicado el Auto (...), de ***FECHA.1, del Juzgado ***JUZGADO.1, de Diligencias Previas (...), con los datos personales de la parte reclamante. SEGUNDO: Consta en el expediente dos burofaxes remitidos por la parte reclamante a la parte reclamada, el primero de ellos remitido el 30/08/2023, el cual no pudo ser entregado por destinatario “desconocido”, y el segundo se envió 12/09/2023, entregado el 13/09/2023. Ambos burofaxes tienen idéntico contenido: “ASOCIACIÓN NACIONAL INFORMÁTICOS DE TASADORES Y PERITOS JUDICIALES C/ Ponzano 52 28005 Madrid A la atención del Sr. Delegado de Protección de Datos de la Asociación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 […] Ejercicio de derechos de supresión, oposición y cancelación de datos personales publicados en página web En (…) a 30 de Agosto de 2023 Estimado Delegado: Me ha sido trasladado que a través de la web de la Asociación Nacional de Tasadores y Peritos Judiciales Informáticos (en adelante ANTPJI), se ha publicado Auto (...), de fecha ***FECHA.1, dictado por A.A.A., titular del Juzgado ***JUZGADO.1, en el que figuran mis datos personales, en un proceso judicial actualmente abierto y del que ANTPJI no es parte personada. Dicho auto se encuentra escaneado y publicado en la URL: ***URL.1 En la resolución judicial publicada se indica expresamente, al pie de su página 4: "La difusión del texto de esta resolución a partes no interesadas en el proceso en el que ha sido dictada podrá llevarse a cabo previa disociación de los datos de carácter personal que los mismos contuvieran V con pleno respeto al derecho a la intimidad, a los derechos de las personas que requieran un especial deber de tutela o a la garantía del anonimato de las víctimas o perjudicados cuando proceda. Los datos personales incluidos en esta resolución no podrán ser cedidos, ni comunicados con fines contrarios a las leves" EN NINGÚN CASO HE AUTORIZADO el tratamiento de mis datos personales por parte de la asociación ANTPJI, ni la difusión de una resolución judicial en la que no está personada como parte dicha asociación. NO EXISTE FIN LíClTO ALGUNO por parte de la asociación ANTPJI para tratar mis datos personales, más allá de tratar de influir en el proceso judicial del que forma parte dicha resolución judicial, la cual, para colmo, ni tan siquiera es firme por estar actualmente recurrida en apelación directa ante la Audiencia Provincial de Madrid, situación que es de sobra conocida, por ser de notoriedad pública: (…) Aún peor, el único fin perseguido por ANTPJI es el ESCARNIO PÚBLICO Y CALUMNIA DE Ml PERSONA, con hechos inventados a sabiendas de su falsedad, tales como condenas desde la Comisión Nacional de los Mercados y la Competencia inexistentes o el supuesto archivo de causas judiciales contra miembros de su asociación, realizado únicamente para confundir a los tribunales de justicia. Es tal el extremo del engaño que la causa indicada en su publicación y en la propia resolución judicial es objeto ya de casación en el Tribunal Supremo, no siendo causa cerrada, ni mucho menos. Así pues, en virtud de los derechos que me asisten en materia de protección de datos personales, muy especialmente el de supresión, le REQUIERO LA RETIRADA DEL AUTO JUDICIAL PUBLICADO en plazo inferior a 30 días naturales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 Así mismo le prohíbo expresamente el tratamiento de mis datos personales, debiendo cesar por completo dicho tratamiento de datos antes de los citados 30 días naturales, y a eliminar todo dato personal mío publicado en su web, dado que carece por completo de interés legítimo para ello, más aún cuando los usa con el único fin de calumniarme públicamente (Derechos de oposición y de cancelación). En caso de que se acuerde que no procede practicar total o parcialmente la supresión solicitada, ruego se me comunique motivadamente a fin de, en su caso, reclamar ante la Autoridad de control que corresponda. En caso de que mis datos personales hayan sido comunicados por ustedes a otros responsables del tratamiento, ruego se comunique esta supresión a los efectos legales oportunos. Así mismo le REQUIERO QUE INFORME SOBRE EL ORIGEN DE LA RESOLUCIÓN JUDICIAL publicada, cómo la obtuvo y con qué fin.” CIARTO: Según las evidencias recogidas por esta Agencia con fecha 21 de diciembre de 2023, en la Política de Privacidad de la web de la parte reclamada se recoge la siguiente información: “1.- ¿Quién es el Responsable del tratamiento de tus datos? Identidad ANTPJI Dirección postal Calle Ponzano 52. 28005 Madrid”. CUARTO: Según las evidencias recogidas por esta Agencia con fecha 21 de diciembre de 2023, en el punto 5 de la Política de Privacidad de la web de la parte reclamada, se recoge la siguiente información relativa al envío de datos personales a terceros: “¿Se comunican tus datos a otros destinatarios?”: “…te indicamos que tus datos se recogen a través de los formularios insertados en nuestra web que está alojada en los servidores de la empresa de hosting https://www.hostmonster.com/situada en EE. UU., por tanto, tus datos salen de la Unión Europea”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD define «datos personales» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada, realiza la recogida y conservación de datos personales de personas físicas. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado. Por su parte, el artículo 17 del RGPD regula el ejercicio del derecho de supresión de los datos personales a solicitud de los interesados respecto a los tratamientos realizados por el responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 III Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  4. b)los datos de contacto del delegado de protección de datos, en su caso;
  5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición." En el presente caso, según las evidencias recogidas por esta Agencia con fecha 21 de diciembre de 2023, en el punto 5 de la política de privacidad de la web de la parte reclamada, se dice lo siguiente en respuesta a la pregunta “¿Se comunican tus datos a otros destinatarios?”: “…te indicamos que tus datos se recogen a través de los formularios insertados en nuestra web que está alojada en los servidores de la empresa de hosting (…) situada en EE. UU., por tanto, tus datos salen de la Unión Europea”. Esta información acerca de la transferencia internacional de datos de los visitantes de la web de la parte reclamada es insuficiente según lo expuesto en el artículo 13.1.
  9. f)del RGPD, debido a que no se informaba acerca de la existencia o ausencia de una decisión de adecuación de la Comisión, o de la adopción de las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. Todo ello supone que no existía un aviso en la política de privacidad de la parte reclamada acerca de si la transferencia internacional a los EE. UU. de los datos personales de la parte reclamante, así como de cualquier visitante de la web, se encontraban o no bajo la protección de alguna de las garantías establecidas en el artículo 44 y siguientes del RGPD. Por otra parte, existen indicios sobre la posible información errónea en dicha política de privacidad al reseñar los datos de contacto de la entidad responsable, en concreto, el relativo a su dirección postal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 Por tanto, de acuerdo con los hechos probados, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la ASOCIACIÓN NACIONAL DE TASADORES Y PERITOS JUDICIALES INFORMÁTICOS, por vulneración del artículo 13 del RGPD transcrito anteriormente. IV Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  10. b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 74.1 de la LOPDGDD establece lo siguiente: "Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  11. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679." V Sanción por la infracción del artículo 13 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 artículo 58, apartado 2, letras
  12. a)a
  13. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  15. b)la intencionalidad o negligencia en la infracción;
  16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  17. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  19. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  20. g)las categorías de los datos de carácter personal afectados por la infracción;
  21. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  22. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  23. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  24. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  26. a)El carácter continuado de la infracción.
  27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  31. f)La afectación a los derechos de los menores.
  32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite imponer una sanción de 1.000€ (mil euros). VI Obligación incumplida. Derecho de supresión El Artículo 17, “Derecho de supresión”, del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  34. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  35. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  36. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  37. d)los datos personales hayan sido tratados ilícitamente;
  38. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  39. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  40. a)para ejercer el derecho a la libertad de expresión e información;
  41. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  42. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  43. h)e i), y apartado 3;
  44. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  45. e)para la formulación, el ejercicio o la defensa de reclamaciones.” En el presente caso, la parte reclamante solicitó a la parte reclamada la retirada del Auto (...), de fecha ***FECHA.1, dictado por el titular del Juzgado ***JUZGADO.1, mediante sendos dos burofaxes, el primero de ellos remitido el 30/08/2023, el cual no pudo ser entregado por destinatario “desconocido”, y el segundo se envió 12/09/2023, entregado el 13/09/2023. Esta petición a la parte reclamada constituye una solicitud de ejercicio del derecho de supresión de sus datos conforme a lo previsto en el artículo 17 del RGPD. Sin embargo, por la parte reclamada no se dio curso a la solicitud, sin que remitiese a la parte reclamante una respuesta motivada informando de las razones de su no actuación, esto es, las razones por las que no procedió a la retirada del Auto Judicial en el que constaban los datos personales de la parte reclamante. La parte reclamada tenía que atender el ejercicio del derecho sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción de la solicitud, como estipula el artículo 12 del RGPD, o, en su defecto, haber informado a la parte reclamante de los motivos por los que no correspondía dar curso a su solicitud. Por tanto, de acuerdo con los hechos probados, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 17 del RGPD. VII Tipificación y calificación de la infracción del artículo 17 del RGPD Confirmada la infracción del artículo 17 del RGPD, supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  46. b)los derechos de los interesados a tenor de los artículos 12 a 22; “ A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  47. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. VIII Sanción por la infracción del artículo 17 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 17 del RGPD, permite imponer una sanción de 1.000€ (mil euros). IX Adopción de medidas Confirmadas las infracciones, de acuerdo con lo establecido en el citado artículo 58.2
  48. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, se requiere a la parte reclamada para que en el plazo de 3 meses acredite a esta Agencia la adopción de las siguientes medidas: - Informar en la política de privacidad de aquellos aspectos relacionados en el artículo 13.1.
  49. f)del RGPD e incluir una dirección postal de contacto válida. - Responder a la solicitud de ejercicio de derecho de supresión realizada por la parte reclamante. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la ASOCIACIÓN NACIONAL DE TASADORES Y PERITOS JUDICIALES INFORMÁTICOS, con NIF G86165743: - Por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  50. b)de dicha norma, una multa de 1000€ (mil euros). - Por la infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.
  51. b)de dicha norma, una multa de 1000€ (mil euros). SEGUNDO: ORDENAR a la ASOCIACIÓN NACIONAL DE TASADORES Y PERITOS JUDICIALES INFORMÁTICOS, con NIF G86165743, que en virtud del artículo 58.2.
  52. d)del RGPD, en el plazo máximo de 3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas impuestas, informando en la política de privacidad de aquellos aspectos relacionados en el artículo 13.1.
  53. f)del RGPD e incluir una dirección postal de contacto válida, y respondiendo a la solicitud de ejercicio de derecho de supresión realizada por la parte reclamante. TERCERO: NOTIFICAR la presente resolución a la ASOCIACIÓN NACIONAL DE TASADORES Y PERITOS JUDICIALES INFORMÁTICOS. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  54. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  55. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.