← España

PS-00252-2019

1/12 937-240719 Procedimiento Nº: PS/00252/2019 RESOLUCIÓN R/00409/2019 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00252/2019, instruido por la Agencia Española de Protección de Datos a SOCIEDAD ESTATAL CORREOS Y TELEGRAFOS. S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 12 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SOCIEDAD ESTATAL CORREOS Y TELEGRAFOS. S.A. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00252/2019 935-160419 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 26/07/2018 en la Agencia Española de Protección de Datos, y se dirige contra SOCIEDAD ESTATAL CORREOS Y TELEGRAFOS. S.A., con NIF A83052407 (en adelante, el reclamado). Los motivos en que basa la reclamación son entregar correspondencia a destinatario erróneo sin que el propio servicio de CORREOS pueda determinar la persona que firmó el recibí ni el domicilio de entrega. Según el reclamante, los hechos tuvieron lugar el 14/05/2018 Junto a la reclamación aporta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12  Diligencia del JUZGADO DE 1ª INSTANCIA E INSTRUCCIÓN Nº 02 DE MAJADAHONDA donde se le requiere para un procedimiento civil documentos (certificado de matrimonio) que contenía la carta.  Denuncia ante la DIRECCIÓN GENERAL DE LA POLICÍA con fecha 8/06/2018 y número de atestado XXXXX/18.  Reclamación presentada el 12/06/2018 en CORREOS indicando que no recibió la correspondencia enviada desde Argentina, Córdoba.  Resguardo de la oficina de correos de procedencia, Argentina, donde figura el número de referencia RR683049663AR. No se visiona dirección a la que se envía, ni persona. SEGUNDO: De conformidad con el artículo 9.4 del Real Decreto-ley 5/2018 (BOE 30/07/2018) el 1/10/2018 se trasladó la reclamación presentada para que la reclamada analizara dicha reclamación y comunicase al reclamante la decisión adoptada. Asimismo, en el plazo de un mes desde la recepción debía remitir a esta Agencia la siguiente información: 1. Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. 4. Cualquier otra que considere relevante. TERCERO: Con fecha 30/10/2018 se recibe en esta Agencia, contestación al traslado de la reclamación en el que la reclamada manifiesta: a. Con fecha 26/10/2018 envían burofax al reclamante indicando que el envío con la referencia numérica que coincide con la que expresa el reclamante, se había entregado al destinatario que aparecía en el sobre. Aunque el nombre es coincidente con el del reclamante, A.A.A. que figura en tipografía de ordenador, el número del DNI, también en tipografía de ordenador es diferente al que consigna el reclamante, no tiene ocho dígitos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 el carácter numérico no se corresponde con los seis dígitos que contiene, figurando como tal, el DNI ***NIF.1. Estos datos figuran en la firma digitalizada en tableta de la recepción del envío, que aporta la reclamada. b. Aportan seguimiento de los eventos de envío desde su admisión hasta la entrega. como documento número 3. Consta: a. 27/04/2018-admitido en origen. b. 7/05/2018 entrada en oficina de cambio de origen, Buenos Aires, avión, oficina de cambio Argentina. c. 7/05/2018 Salida de la oficina de cambio de origen. Envío curso a destino. d. 14/05/2018 en reparto para su entrega y ese mismo día una hora y veinte minutos más tarde “entregado al destinatario autorizado”, ambos Madrid U 11 e. En otra página del mismo localizador, no figuran datos del remitente, ni del destinatario, figurando marcado entrega exclusiva “no”. a. En los datos que constan en la aplicación del localizador de envíos, todos los datos del destinatario aparecen en blanco y en el documento de eventos de envío, solo figura “Madrid Distrito 11”. En este sentido, se limitan a informar a esta Agencia de que “ …. el envío número RR683049663AR fue entregado en la dirección indicada por el remitente en el propio envío …”. CUARTO: Con fecha 19/11/2018, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 II El artículo 5.1.

  1. f)del RGPD dispone: “Los datos personales serán: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” La LOPDGDD señala en su artículo 5: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  2. f)del Reglamento (UE) 2016/679 .” El artículo 32 del RGPD añade: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  3. a)la seudonimización y el cifrado de datos personales;
  4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En cuanto a la prescripción, el artículo 72 de la LOPGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  7. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” III El artículo 83.5
  8. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  9. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”.
  10. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” IV La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6, sean en cada caso individual efectivas, proporcionadas y disuasorias.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  11. a)a
  12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  14. a)la intencionalidad o negligencia en la infracción;
  15. a)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  16. a)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  17. a)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  18. a)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  19. a)las categorías de los datos de carácter personal afectados por la infracción;
  20. a)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
  21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  24. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  25. a)El carácter continuado de la infracción.
  26. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  27. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  29. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  30. f)La afectación a los derechos de los menores.
  31. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  32. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 Para la cuantificación de la sanción que se implementaría en este acuerdo de inicio, se contemplan los siguientes factores: -Los datos tratados lo han sido en el marco de la actividad que ejerce la reclamada a nivel estatal como labor habitual, y de modo profesional (83.2.k RGPD en relación con el 76 LOPDGDD). -Se valora que existen medidas limitadas en relación con el procedimiento relacionado con la entrega de los envíos al destinatario, pues en este caso se desconoce la dirección del destino en que se entrega, ni hay control o protocolo a empleados en materia de entrega de los envíos, como ejemplo el modo de verificación de los datos de la persona a quien se produce la entrega, constando un NIF no coherente que no se corresponde con el del reclamante (83.2.
  33. d)RGPD). -Los datos personales son los básicos, relacionados con el estado civil (83.2.
  34. g)RGPD), contenidos en un documento certificado de matrimonio, que no pudieron ser entregados al Juzgado en la cumplimentación del trámite que se requería, sufriendo claros perjuicios por tener que volver a reiniciar el ciclo de la petición de los documentos,(83.2.a RGPD) . Como consecuencia con los elementos que se disponen, sin perjuicio de lo que derive de la tramitación del procedimiento, la valoración inicial que alcanza la multa por la infracción imputada es de 40.000 euros sin perjuicio de lo que resulte de la instrucción de este procedimiento. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a SOCIEDAD ESTATAL CORREOS Y TELEGRAFOS. S.A., con NIF A83052407, por la presunta infracción del artículo 5.1
  35. f)del RGPD, tipificada en el artículo 83.5.
  36. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 1. NOMBRAR como instructor a R.R.R. y, como secretario, a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público (LRJSP). 1. INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, y los documentos obtenidos y generados por la Subdirección General de Inspección de Datos. 1. QUE a los efectos previstos en el art. 64.2
  37. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa de 40.000 euros, sin perjuicio de lo que resulte de la instrucción. 1. NOTIFICAR el presente acuerdo a SOCIEDAD ESTATAL CORREOS Y TELEGRAFOS. S.A., con NIF A83052407, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  38. f)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000 euros y su pago implicará la terminación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecida en 14.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 32.000 euros o 14.000 euros, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 25 de julio de 2019, el reclamado ha procedido al pago de la sanción en la cuantía de 32000 euros haciendo uso de una de las dos reducciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  39. d)e
  40. i)y 38.4 d),
  41. g)y
  42. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00252/2019, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a SOCIEDAD ESTATAL CORREOS Y TELEGRAFOS. S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  43. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.