1/21 Expediente N.º: EXP202406574 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de marzo de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a VOX ESPAÑA con NIF G86867108 (en adelante, VOX). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: La parte reclamante expone que el partido político reclamado publicó, el día 16 de marzo de 2024, en el perfil de Facebook de su formación en ***LOCALIDAD.1 (***LOCALIDAD.2), VOX ***LOCALIDAD.1, una imagen del acuse de recibo de una carta certificada enviada por el partido reclamado a una sociedad municipal. La parte reclamante fue la persona que firmó el justificante de recepción. En el documento publicado aparecen el nombre y primer apellido de la reclamante, su firma y su DNI. Junto al escrito, se aporta: - perfil en Facebook de VOX ***LOCALIDAD.1 donde, entre otras publicaciones, se puede ver el acuse de recibo con el nombre y primer apellido, así como DNI y firma de la parte reclamante. - Acta de manifestaciones notarial de fecha 21 de marzo de 2024, en la que se puede leer, entre otras manifestaciones: “que con fecha 8 de febrero de 2024, recibió carta con acuse de recibo, dirigida a la entidad “***EMPRESA.1” en el lugar donde desarrolla su trabajo (***LOCALIDAD.1, ***LOCALIDAD.2) firmando el correspondiente justificante de recibo. Que lógicamente, el funcionario de correos que presentó el documento, le solicitó su Documento Nacional de Identidad y su firma (…). Que se ha sorprendido, como el remitente de dicha carta certificada, ha publicado en la red social “Facebook”, y en particular en la dirección de “VOX ***LOCALIDAD.1”, fotocopia del documento de acuse de recibo, en el que consta su nombre, firma, así como su Documento Nacional de Identidad, Que no se ha puesto en su conocimiento que iba a ser publicado dicho documento con sus datos personales en una red social y que no ha prestado consentimiento ni expreso ni tácito para ello. - que lo anteriormente narrado, (...), constituye un delito contra el derecho fundamental a su intimidad personal, ya que sus datos personales, nombre, número de D.N.I., y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/21 firma personal, han sido apoderados por un tercero, haciendo un uso indebido (publicación de datos en red social) revelando los mismos a otras personas, sin que pueda (…) requirente, conocer el alcance del uso de los mismos por un tercero. - me presenta en este momento, “pantallazo” de la página de referencia, en el que aparece la publicación en la red social “FACEBOOK” “VOX ***LOCALIDAD.1” y de la que resultan los datos manifestados. Yo el Notario, hago constar que coinciden los datos presentados con los anteriormente indicados por (…) requirente, devolviendo el documento a (…). -que nada tiene que ver con las afirmaciones publicadas en dicha página “VOX ***LOCALIDAD.1” que resultan de publicaciones inmediatamente anteriores y que pudieran ser malentendidas por terceros, al aparecer (…) y sus datos, a continuación de aquellas. - que hasta el momento actual, se comprueba por la información que arroja Facebook y por las revisiones periódicas que desde su publicación ha ido realizando la compareciente, que lleva cinco días publicado. (…)”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a VOX, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 29/04/2024, como consta en el acuse de recibo que obra en el expediente. Con fecha 12/05/2024 se recibe en esta Agencia escrito de respuesta indicando: La publicación ha sido un descuido realizado de manera no intencionada, el partido desconocía esa circunstancia, en la que en un acuse de recibo aparecían esos datos personales, y en cuanto tuvo conocimiento eliminó la misma. TERCERO: Con fecha 30 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 2 de octubre de 2024 se realiza diligencia en la que se constata que la publicación a la que hace referencia la parte reclamante ya no figura en dicha red social. QUINTO: Con fecha 17 de febrero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/21 SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. Vulneración del principio de culpabilidad. Principio de presunción de inocencia. Los hechos que han motivado la apertura del procedimiento sancionador, no se han producido como consecuencia de dolo o culpa, y por tanto conculcarían el artículo 25. 1 de la Constitución Española, y la doctrina jurisprudencial. Indica que el hecho de que se publique en la red social FACEBOOK una carta relacionada con el grupo municipal, y que en el proceso automatizado de subida se subieran los datos de un acuse de recibo incluido en el documento se trataría de un descuido no culpable. Añade que los datos del acuse de recibo son irrelevantes en la finalidad de ese tratamiento, que no debería aparecer en la publicación, y que aparece de manera no intencionada, por un descuido que no pretendía causar ningún perjuicio a la persona que firmó la recepción. Añade que la doctrina jurisprudencial es clara y entiende que está vedado cualquier intento de construir una responsabilidad objetiva, y que en el ámbito de la responsabilidad administrativa no basta que la conducta sea antijurídica y típica, sino que es necesario que también sea culpable. Por último, manifiesta que cuando fueron conscientes de la publicación la eliminaron, y así se recoge en el acuerdo de inicio. Asimismo, manifiesta que el Tribunal de Justicia de la Unión Europea ha determinado en sus últimas sentencias que solo una infracción culpable del RGPD puede dar lugar a la imposición de una multa administrativa. De este modo, indica que el TJUE señala expresamente que el artículo 83 del RGPD establece que no se puede aplicar una multa administrativa por una infracción del Reglamento sin demostrar que el responsable del tratamiento cometió la infracción de manera intencionada o negligente. Por tanto, la culpabilidad es un requisito indispensable para imponer la multa, entendida la culpabilidad como la situación en la que el responsable del tratamiento no podía ignorar el carácter infractor de su conducta, fuera o no consciente de la infracción en cuestión. Asimismo, VOX manifiesta que la presunción de inocencia es un derecho fundamental de la ciudadanía recogido en el artículo 24.2 de la Constitución, en el artículo 6.2 del Convenio Europeo de Derechos Humanos, y para los procedimientos administrativos, viene recogido en el artículo 53.2.
- b)de la Ley 39/2015, donde se establece que el interesado en un procedimiento administrativo tiene derecho a la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario. Asimismo, hace referencia a: - la STS de 10 de julio de 2007 (rec.306/2002) donde se recoge que ha de ser la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/21 Administración la que demuestre la culpabilidad pues “no es el interesado quien ha de probar la falta de culpabilidad.” -la STS de 27 de noviembre de 2011 (RC 2515/2009) donde se recogería que “la carga de probar los hechos constitutivos de infracción corresponde ineludiblemente a la Administración Pública actuante, sin que sea exigible al inculpado una probatio diabólica de los hechos negativos”. SÉPTIMO: Con fecha 5 de noviembre de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se sancione a VOX ESPAÑA, con NIF G86867108, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD, con una multa de 500 € (quinientos euros). OCTAVO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, VOX ha presentado en fecha 10 de noviembre de 2025 escrito de alegaciones, en el que se pone de manifiesto: 1. Principio de intervención mínima (artículo 83.2 RGPD y artículo 76.2 LOPDGDD). VOX manifiesta que la AEPD solo debe sancionar cuando la infracción revista entidad suficiente, y que, en casos como este, en los que ha habido una difusión breve, sin daño efectivo, sin ánimo de lucro ni reincidencia, procede aplicar el principio de proporcionalidad y la opción del archivo. Hace referencia a “Criterio 1/2019 de la AEPD sobre graduación de sanciones en el que se recogería que “el ejercicio de la potestad sancionadora debe ser proporcionado y adecuado a la naturaleza, circunstancias y entidad de los hechos, evitando sancionar supuestos de escasa relevancia.” 2. Infracción meramente formal y subsanada. VOX indica que la publicación se retiró voluntariamente antes de la resolución y sin requerimiento judicial, y entiende que es lo que la doctrina de la AEPD considera un “cese espontáneo del tratamiento” con efecto atenuante o exonerante si no persisten daños. Cita la resolución del PS/00486/2020 de una asociación política local en el que se recogería que “el tratamiento cesó en cuanto se tuvo conocimiento, no existiendo perjuicio alguno para el afectado, por lo que no procede sanción y se acuerda el archivo.” Esta circunstancia se cumpliría en este caso, en el que la retirada fue inmediata y voluntaria, eliminándose cualquier acceso público y garantizándose la no reiteración del hecho. 3. Falta de perjuicio efectivo. El RGPD exige que el tratamiento afecte de modo real a derechos o libertades. En ausencia de difusión masiva o perjuicio acreditado, no hay afectación relevante y, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/21 tanto, puede aplicarse el principio de oportunidad sancionadora. A este respecto, hace mención al dictamen 1251 del Consejo de Estado, según el cual “el principio de proporcionalidad impone el archivo de actuaciones cuando la infracción sea meramente formal y no haya ocasionado daño o riesgo irrelevante.” VOX entiende que no existe constancia de perjuicio alguno derivado de la breve publicación, ni de reclamaciones o daños patrimoniales o morales. Insiste en que el daño potencial fue meramente hipotético, y de entidad irrelevante. 4. Falta de dolo o negligencia grave. VOX manifiesta que esta AEPD distingue entre “error humano ocasional” y “negligencia continuada”. Añade que sí existió formación, supervisión y retirada inmediata, no hay culpabilidad suficiente, según el artículo 28.1 de la Ley 40/2015. Además, cita el PS/00261/2022 y menciona “no se aprecia negligencia grave ni dolo; el hecho se debió a error material y se subsanó con celeridad. Procede el archivo.” Insiste en que el hecho que motivó este expediente se debió a un error involuntario, sin ánimo de vulnerar la normativa ni obtener beneficio alguno. Además, se han adoptado protocolos de revisión y formación interna para evitar que una situación semejante pueda producirse. 5. Cooperación y buena fe. (artículo 83.2.
- f)del RGPD). VOX quiere manifestar que la cooperación activa con la AEPD y la pronta corrección del error constituyen atenuantes cualificados e incluso pueden justificar el archivo conforme al principio de eficacia y economía procedimental (artículo 130.2 LPACAP). Cita el PS/00347/2021 en el que “el reclamado colaboró en todo momento, retiró el contenido y adoptó medidas preventivas. En virtud del principio de proporcionalidad, se acuerda el archivo.” Insiste en que VOX ha colaborado de forma plena y transparente con la AEPD, aportando la información requerida y acreditando la retirada del contenido, así como las medidas preventivas adoptadas a raíz de este hecho. 6. Principio de proporcionalidad y eficacia (artículo 89 LPACAP). El artículo 89 de la Ley 39/2015 permite el sobreseimiento o archivo cuando la infracción carezca de entidad suficiente, o el infractor haya corregido voluntariamente su conducta. Entiende que la sanción propuesta de 500 euros es desproporcionada frente a la ausencia de perjuicio, la cooperación mostrada y las medidas correctoras adoptadas, y que la finalidad preventiva de la norma ya se ha cumplido. 7. Solicitud de archivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/21 En virtud de las alegaciones presentadas y conforme a los principios de intervención mínima, proporcionalidad, falta de perjuicio efectivo y cese espontáneo del tratamiento, procede acordar el archivo del procedimiento sancionador, sin imposición de sanción. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: VOX ***LOCALIDAD.1 envió una comunicación por correo certificado con acuse de recibo al centro de trabajo de la parte reclamante. SEGUNDO: La parte reclamante fue la persona encargada de recoger el escrito en fecha 8 de febrero de 2024, firmando con su nombre, primer apellido, DNI y firma. TERCERO: En fecha 16 de marzo de 2024 se ha publicado en la red social FACEBOOK de VOX ***LOCALIDAD.1 el acuse de recibo del escrito enviado por VOX con el nombre y primer apellido, DNI y firma de la parte reclamante, al ser la persona que recogió el escrito. CUARTO: El acta de manifestaciones otorgado ante Notario en fecha 21 de marzo de 2024 comprueba que la información lleva cinco días publicada. QUINTO: En fecha 2 de octubre de 2024 se constata que la publicación del acuse de recibo con el nombre y primer apellido de la parte reclamante ha sido eliminada de la página de FACEBOOK de VOX ***LOCALIDAD.1. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/21 III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1. Vulneración del principio de culpabilidad. Principio de presunción de inocencia. VOX manifiesta que los hechos que han motivado la apertura del procedimiento sancionador no se han producido como consecuencia de dolo o culpa, sino que se trataría de un descuido no culpable. Además, añade que los datos del acuse de recibo son irrelevantes en el tratamiento. A pesar de las manifestaciones de VOX, hay que tener en cuenta que los hechos que se imputan son la publicación en la red social Facebook de un acuse de recibo con el nombre y apellido, firma y DNI de la parte reclamante, sin mediar consentimiento por parte de la titular de los datos personales. Como ya se había recogido en el acuerdo de inicio, el considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” A su vez, el artículo 4 del RGPD relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” Este es el hecho que se imputa a VOX ,y a pesar de las manifestaciones que realiza en el sentido de que la doctrina jurisprudencial es clara y considera que está vedado cualquier intento de construir una responsabilidad objetiva y que en el ámbito de la responsabilidad administrativa no basta que la conducta sea antijurídica y típica, sino que es necesario que también sea culpable, hay que señalar que la conducta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/21 imputada sí se ha producido de manera negligente, y así se deduce de las propias palabras de VOX cuando manifiesta que la publicación se ha producido por un descuido. De este modo, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/21 Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible”. A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (Sentencia de la Audiencia Nacional de 29 de junio de 2001). Como se puede apreciar, son múltiples las sentencias que se han pronunciado al respecto en nuestro ordenamiento. En relación con la manifestación de VOX de que “entiende que está vedado cualquier intento de construir una responsabilidad objetiva” hay que citar la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, en la que se recoge: "(...) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana." Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/21 Tribunal Supremo de 20 de noviembre de 2011, recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 "(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma." A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por otro lado, en relación con las manifestaciones referidas al derecho a la presunción de inocencia a la que VOX se refiere cuando afirma que en el artículo 53.2.
- b)de la Ley 39/2015, se establece que el interesado en un procedimiento administrativo tiene derecho a la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario, hay que señalar que para que pueda apreciarse la existencia de indefensión no resulta suficiente con que se haya producido una infracción formal sino que ha de haberse producido una indefensión de carácter material. En este sentido, en palabras del TC, STC 290/1993, fundamento jurídico 4 “ Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/21 En definitiva, para que se quebrante la prohibición de indefensión es necesario que exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso pues en el presente supuesto ha quedado acreditado la publicación en la red social Facebook del nombre y apellido, así como el DNI y la firma de la parte reclamante, circunstancia que ha sido reconocida por VOX. Además, VOX ha sido debidamente notificado de la existencia del procedimiento sancionador, habiendo recogido el acuerdo de inicio en fecha 19 de febrero de 2025. Asimismo, ha presentado alegaciones al acuerdo de inicio en fecha en fecha 4 de marzo de 2025, las cuales han sido debidamente contestadas en la propuesta de resolución. Así las cosas, ninguna de las circunstancias concurrentes en el caso permite excluir el elemento subjetivo de la infracción, ni la imputación ha dado lugar a indefensión por los motivos ya indicados, debiendo rechazarse la presente alegación. No obstante, en el presente supuesto hay que destacar la diligencia mostrada por VOX en la retirada de la publicación, una vez conocida la citada publicación, circunstancia que será tenida en cuenta a la hora de fijar la cuantía de la sanción. IV Respuesta a las alegaciones a la propuesta de resolución del procedimiento sancionador 1. Principio de intervención mínima (artículo 83.2 RGPD y artículo 76.2 LOPDGDD). VOX pone de manifiesto que debe aplicarse el principio de proporcionalidad que, según quieren manifestar, significaría que solo se debe sancionar cuando la infracción revista entidad suficiente. No obstante, en el caso que nos ocupa, la infracción imputada ha sido perfectamente constatada, al haberse publicado el nombre y apellidos, así como el DNI y firma de la parte reclamante, en la página de la red social Facebook de VOX ***LOCALIDAD.1, sin el consentimiento de la parte reclamante y sin que sea de aplicación alguna de las bases de legitimación previstas en el artículo 6 del RGPD. Asimismo, VOX hace referencia a un “Criterio 1/2019 de la AEPD sobre graduación de sanciones” en el que se recogería que “el ejercicio de la potestad sancionadora debe ser proporcionado y adecuado a la naturaleza, circunstancias y entidad de los hechos, evitando sancionar supuestos de escasa relevancia.” Este criterio 1/2019 como tal no ha sido publicado. Si consta la circular 1/2019, de 7 de marzo, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales relativos a opiniones políticas y envío de propaganda electoral por medios electrónicos o sistemas de mensajería por parte de partidos políticos, federaciones, coaliciones y agrupaciones de electores al amparo del artículo 58 bis de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, que no aplica en este caso, ya que el objeto de la misma no está relacionado con los procedimientos sancionadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/21 En este sentido, esta Agencia no comparte la posición defendida por VOX sobre la “escasa relevancia” del supuesto. VOX no tiene en cuenta que los datos personales de la parte reclamante han sido difundidos a través de una red social sin ninguna restricción de acceso, de modo que pudo ser accedida por cualquier tercero, ni tampoco considera los riesgos que conlleva divulgar el nombre y apellido de una persona asociado a su número de DNI y firma. Un riesgo que puede permanecer en el tiempo incluso después de retirada la publicación. Por lo tanto, procede rechazar la presente alegación. 2. Infracción meramente formal y subsanada. VOX indica que la publicación se retiró voluntariamente antes de la resolución y sin requerimiento judicial, y entiende que es lo que la doctrina de la AEPD considera un “cese espontáneo del tratamiento” con efecto atenuante o exonerante si no persisten daños. A este respecto, cita la resolución dictada por esta Agencia en el PS/00486/2020 señalando que se acordó el archivo por el cese del tratamiento y la inexistencia de perjuicio. VOX, sin embargo, no ha acreditado cuándo tuvo lugar el “cese del tratamiento”, si retiró la publicación del documento controvertido antes o después de conocer la reclamación que ha motivado las actuaciones con ocasión del trámite de traslado formalizado por esta AEPD en fecha 29/04/2024. En todo caso, la diligencia mostrada por VOX en la retirada de la publicación es una circunstancia que se tiene en cuenta a la hora de fijar la cuantía de la sanción, habiendo determinado la minoración de la misma respecto de la determinada en el acuerdo de apertura del procedimiento. VOX cita la resolución del PS/00486/2020 de una asociación política local en el que se recogería que “el tratamiento cesó en cuanto se tuvo conocimiento, no existiendo perjuicio alguno para el afectado, por lo que no procede sanción y se acuerda el archivo.” Una vez analizado el supuesto al que hace referencia se concluye que no tiene relación con el procedimiento que se indica por VOX. Debe aclararse que en el PS/00486/2020 no se resolvió el archivo del procedimiento, sino que se consideró cometida la infracción, imponiéndose un apercibimiento en lugar de sanción con multa administrativa de conformidad con lo establecido en el artículo 77 de la LOPDGDD, al estar incluida la entidad responsable entre las mencionadas en el apartado 1 de dicho artículo. Por lo tanto, procede rechazar la presente alegación. 3. Falta de perjuicio efectivo. Según VOX, el RGPD exige que el tratamiento afecte de modo real a derechos o libertades. En base a ello, entiende que, en ausencia de difusión masiva o perjuicio acreditado, no hay afectación relevante y, por tanto, puede aplicarse el principio de oportunidad sancionadora. A este respecto, hace mención al dictamen 1251/2019 del Consejo de Estado, según C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/21 el cual “el principio de proporcionalidad impone el archivo de actuaciones cuando la infracción sea meramente formal y no haya ocasionado daño o riesgo irrelevante.” VOX entiende que no existe constancia de perjuicio alguno derivado de la breve publicación, ni de reclamaciones o daños patrimoniales o morales. Insiste en que el daño potencial fue meramente hipotético, y de entidad irrelevante. Con relación a estas manifestaciones, hay que recordar, en contra de lo señalado por VOX, que la infracción cometida no tiene carácter formal y que se realizó una difusión de los datos de la parte reclamante a través de internet sin restricción alguna. Si a esto añadimos lo indicado en el punto 1 anterior, resulta que sí se produjo una afectación grave del derecho de la parte reclamante. En consecuencia, esta alegación no puede ser tenida en cuenta. 4. Falta de dolo o negligencia grave. VOX manifiesta que esta AEPD distingue entre “error humano ocasional” y “negligencia continuada”. Añade que, si existió formación, supervisión y retirada inmediata, no hay culpabilidad suficiente, según el artículo 28.1 de la Ley 40/2015. Además, cita el PS/00261/2022 y menciona “no se aprecia negligencia grave ni dolo; el hecho se debió a error material y se subsanó con celeridad. Procede el archivo.” Insiste en que el hecho que motivó este expediente se debió a un error involuntario, sin ánimo de vulnerar la normativa ni obtener beneficio alguno. Además, se han adoptado protocolos de revisión y formación interna para evitar que una situación semejante pueda producirse. En relación con esta cuestión relativa a la culpabilidad, señalar que ya ha sido contestada en la respuesta a las alegaciones al acuerdo de inicio, a la que nos remitimos. A la hora de valorar la negligencia apreciada en la conducta de VOX interesa precisar, no obstante, que los datos de la parte reclamante se difundieron a través de una red social sin que esta difusión fuera necesaria. La propia entidad VOX ha reconocido que los datos de la parte reclamante incluidos en el acuse de recibo publicado son irrelevantes para la finalidad del tratamiento y que no deberían aparecer en la publicación. Además, VOX hace referencia al PS/00261/2022, que tampoco coincide con lo alegado por VOX al haber finalizado el procedimiento con una infracción por el artículo 5.1.
- c)del RGPD. En este procedimiento se dictó resolución de finalización del procedimiento por pago voluntario de la multa y reconocimiento de la responsabilidad por parte de la entidad responsable. 5. Cooperación y buena fe. (artículo 83.2.
- f)del RGPD). VOX quiere manifestar que la cooperación activa con la AEPD y la pronta corrección del error constituyen atenuantes cualificados e incluso pueden justificar el archivo conforme al principio de eficacia y economía procedimental (artículo 130.2 LPACAP). Cita el PS/00347/2021 en el que, según VOX, “el reclamado colaboró en todo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/21 momento, retiró el contenido y adoptó medidas preventivas. En virtud del principio de proporcionalidad, se acuerda el archivo.” Insiste en que VOX ha colaborado de forma plena y transparente con la AEPD, aportando la información requerida y acreditando la retirada del contenido, así como las medidas preventivas adoptadas a raíz de este hecho. En relación con la cooperación y buena fe, a la que se refiere el artículo 83.2.
- f)del RGPD, hay que tener en cuenta que la cooperación debe considerarse algo obligatorio, y no un factor atenuante por si solo. La retirada del contenido, que sí tuvo como efecto limitar o evitar consecuencias negativas para la parte reclamante, ya ha sido tenida en cuenta a la hora de graduar la cuantía de la sanción, que se ha fijado en 500 euros. Por lo tanto, esta alegación no puede ser tenida en cuenta. En relación con el PS al que se hace referencia por parte de VOX hay que señalar que se trataba de un caso en el que se imputaba una infracción de la LSSI y en el que no se dan los mismos supuestos que en el caso que nos ocupa, por lo que no procede admitir la presente alegación. De acuerdo con dicha normativa, en ese caso se acordó la apertura de procedimiento para la imposición de un apercibimiento, que se asocia con la posibilidad de exigir a la entidad responsable la adopción de medidas para reparar la situación ilegal, de ahí que la corrección de los hechos determinantes de la infracción motive el archivo del procedimiento. 6. Principio de proporcionalidad y eficacia (artículo 89 LPACAP). El artículo 89 de la Ley 39/2015 permite el sobreseimiento o archivo cuando la infracción carezca de entidad suficiente, o el infractor haya corregido voluntariamente su conducta. Entiende que la sanción propuesta de 500 euros es desproporcionada frente a la ausencia de perjuicio, la cooperación mostrada y las medidas correctoras adoptadas, y que la finalidad preventiva de la norma ya se ha cumplido. Sin embargo, el artículo 89 de la Ley 39/2015 hace referencia a la propuesta de resolución en los procedimientos de carácter sancionador, y establece: 1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
- a)La inexistencia de los hechos que pudieran constituir la infracción.
- b)Cuando los hechos no resulten acreditados.
- c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.
- d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
- e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción. En el caso que nos ocupa, no se da ninguna de las circunstancias propias del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/21 89 de la LPACAP, por lo que procede rechazar la presente alegación. V Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que VOX ha publicado en la red social FACEBOOK el acuse de recibo de una comunicación que envió al lugar de trabajo de la parte reclamante, en el que consta su nombre y primer apellido, firma y D.N.I. VOX realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. VI Obligación incumplida. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece en su apartado 1 lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/21 para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. En el presente caso, consta acreditado la publicación en la red social Facebook, en la cuenta de la que es responsable VOX, de un acuse de recibo en el que consta el nombre y primer apellido de la parte reclamante, así como su firma y su D.N.I. VOX así lo reconoce en su escrito de fecha 12 de mayo de 2024, cuando manifiesta: “Siendo cierta esa circunstancia, la publicación ha sido un descuido realizado de manera no intencionada, el partido desconocía esa circunstancia, en la que en un acuse de recibo aparecían esos datos personales, y en cuanto tuvo conocimiento eliminó la misma. No existe dolo, ni intencionalidad, se trata de un error humano o técnico y no un error de derecho, en cuanto se tuvo conocimiento de ese error se eliminó la publicación. La jurisprudencia del Tribunal Supremo afirma que en el ámbito sancionador “está vedado cualquier intento de construir una responsabilidad objetiva” y que “en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable (…) es decir, como exigencia derivada del artículo 25.1 de la Constitución, nadie puede ser condenado o sancionado sino por hechos constitutivos que le puedan ser imputados a título de dolo o culpa (principio de culpabilidad)” En relación con esta cuestión, hay que tener en cuenta que el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Asimismo, se hace necesario referirnos a la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/21 Wohnen), que indica: “76 A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” (el subrayado es nuestro). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". En este sentido, VOX había publicado en la red social Facebook el acuse de recibo que contenía el nombre y primer apellido, firma y DNI de la parte reclamante. VOX ha reconocido los hechos, pero ha manifestado que se trataría de un descuido, realizado de manera no intencionada. Asimismo, con fecha 2 de octubre de 2024 se ha constatado que la información a la que se refería la parte reclamante ha sido suprimida del perfil de Facebook de VOX ***LOCALIDAD.1. De este modo, desde esta Agencia se considera que VOX habría realizado un tratamiento de datos de la parte reclamante sin estar amparado en ninguna de las bases de legitimación previstas en el artículo 6 del RGPD, y sin que medie su consentimiento, en la medida en que ha quedado constatado que ha publicado en la red social de Facebook el acuse de recibo que contenía el nombre y primer apellido, firma y DNI de la parte reclamante. En este sentido, el considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/21 la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” Por otra parte, se tiene en cuenta que la parte reclamante es una persona anónima y que la publicación de sus datos personales no tiene ninguna relevancia pública, de modo que su divulgación carece de interés público. Además, según se indicó anteriormente, la propia entidad VOX ha reconocido que los datos de la parte reclamante incluidos en el acuse de recibo publicado son irrelevantes para la finalidad del tratamiento, lo que viene a abundar en la infracción que resulta de la publicación de aquel documento sin haber suprimido con anterioridad los datos personales en cuestión. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a VOX, por vulneración del artículo 6 del RGPD. VII Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/21 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VIII Sanción por la infracción del artículo 6 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/21 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD, permite fijar una sanción de multa administrativa de 500,00 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VOX ESPAÑA, con NIF G86867108, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD, una multa de 500,00 euros (quinientos euros). SEGUNDO: NOTIFICAR la presente resolución a VOX ESPAÑA. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/21 de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-00000000-0000-0000-0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es