1/7 Expediente N.º: PS/00289/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 29 de diciembre de 2020, la Agencia Española de Protección de Datos REQUIRIÓ a FUENSANTA S.L., con CIF B28062073, que aportara documentación relacionada con determinadas investigaciones en curso llevadas a cabo por la Subdirección General de Inspección de Datos de esta Agencia, en relación con el expediente E/10435/2020, en los siguientes términos: “En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar ciertos hechos de los cuales ha tenido conocimiento esta Agencia Española de Protección de Datos, y en uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos) (en adelante RGPD), y el art. 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se solicita que en el plazo de diez días hábiles, presente la siguiente información relativa al correo electrónico remitido con los destinatarios en claro (sin copia oculta): 1. Información sobre las causas que han motivado la remisión del correo con la lista de destinatarios en claro (lista múltiple desvelando las direcciones de correo electrónico al resto de destinatarios). 2. Información sobre si han remitido más correos electrónicos similares a otras listas de destinatarios o se trata de un único envío. 3. Información sobre si el correo electrónico incluía otros datos de los pacientes (datos identificativos de otro tipo, incluidos datos de salud como resultados de las pruebas). 4. Información sobre si se han dirigido a los afectados para comunicar el error y copia de la comunicación en caso afirmativo. 5. Medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia.” Asimismo, se les informaba de que el responsable y el encargado del tratamiento de los datos de carácter personal tienen la obligación de facilitar los documentos, informaciones y cualquier otra colaboración que se precise para realizar la función de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 inspección, con la indicación de que el incumplimiento de esa obligación, podría comportar la comisión de la infracción tipificada en el art. 83.5.
- e)del RGPD, consistente en no facilitar acceso en incumplimiento del artículo 58, apartado 1, que se sancionará, de acuerdo con el art. 58.2 del RGPD, con multas administrativas de 20 millones de euros como máximo o, tratándose de empresas, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. SEGUNDO: El requerimiento de información, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado en fecha 9 de enero de 2021, como consta en el certificado de Notific@ que obra en el expediente. TERCERO: Transcurrido en exceso el plazo otorgado para contestar al citado requerimiento de información no consta en esta Agencia la contestación al mismo. CUARTO: En fecha 11 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 58.1 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: En fecha 2 de agosto de 2021, se formuló propuesta de resolución, en los siguientes términos: << Que por la Directora de la Agencia Española de Protección de Datos se sancione a FUENSANTA S.L., con CIF B28062073, por una infracción del artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 3.000,00 € (TRES MIL EUROS).>> SEXTO: En fecha 24 de agosto de 2021, la entidad presentó escrito de alegaciones a la Propuesta de Resolución, en el que, en síntesis, manifiesta que procedió a contestar al requerimiento de información, si bien no dentro de los plazos otorgados en las notificaciones posteriores al 21 de octubre de 2020, que la propuesta de resolución no expone de manera sucinta los hechos y fundamentos jurídicos en los que se basa la desestimación, lo que supone indefensión afectando a su derecho de defensa, que no ha habido intencionalidad de no facilitar a la AEPD la información requerida y reitera que la situación causada por no atender en tiempo y forma los requerimientos de la AEPD, es fruto de una sucesión de errores y acontecimientos desafortunados y solicita que se resuelva el procedimiento sin imputar infracción ni sanción y el archivo de actuaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: El requerimiento de información indicado en el antecedente primero fue notificado electrónicamente, con arreglo a lo dispuesto en el artículo 43 de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 SEGUNDO: El reclamado no ha respondido al requerimiento de información efectuado por la Agencia en los plazos otorgados para ello, a saber: El requerimiento efectuado en el marco de las actuaciones de investigación referenciadas con el código E/10435/2020, en el que el plazo para responder era de diez días hábiles. TERCERO: Transcurrido en exceso el plazo otorgado para contestar al citado requerimiento de información no consta en esta Agencia la contestación al mismo. FUNDAMENTOS DE DERECHO PRIMERO: En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. SEGUNDO: Respecto a las alegaciones presentadas a la Propuesta de Resolución, se debe señalar lo siguiente: En cuanto a la falta de motivación de la propuesta de resolución, consta suficientemente razonada la infracción imputada con base en la documentación que obra en el expediente. El requerimiento de información se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Transcurrido en exceso el plazo otorgado para contestar al citado requerimiento de información, no consta en esta Agencia la contestación al mismo. La exigencia de motivación de las actuaciones administrativas está directamente relacionada con los principios de un Estado de Derecho (art. 1.1 de la CE) y con el carácter vinculante que para las Administraciones Públicas tiene la Ley, a cuyo imperio están sometidas en el ejercicio de sus potestades (arts. 103.1 de la CE y 3.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público). Así pues, todas las decisiones administrativas están sujetas a la exigencia de motivación (art. 88.3 de la LPAC),si bien no presupone la inexorable obligación de contestar una por una a cada objeción que los interesados en un procedimiento tengan a bien exponer, porque ello iría en contra del principio de celeridad y cumplimiento de los plazos procesales. Los artículos 35 y 88, todos ellos de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, exigen que la "resolución sea motivada", aunque sea brevemente, con el fin de que el interesado conozca la fundamentación de la resolución, sin que pueda producir indefensión el desconocimiento por parte de aquel de las razones que asisten a la Administración que sanciona, pronunciándose en tal sentido el Tribunal Supremo, en Sentencia de 30 de septiembre de 1.996 o 19 de noviembre de 2001, según las cuales, la brevedad y concisión no deben confundirse con la falta de motivación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 La doctrina que ha venido manteniendo el Tribunal Constitucional en relación con la indefensión es que para que esta pueda invocarse, es necesario que se trate de una indefensión material que implica que haya causado un perjuicio real y efectivo. (entre otras, SSTC 90/1988, 43/1989, STC, 105/1995, 118/1997, 91/2004) En este caso, no solo se cumplen sobradamente las exigencias mencionadas, sino que se va más allá ofreciendo razonamientos que justifican la posible calificación jurídica de los hechos valorada al inicio e, incluso, se mencionan las circunstancias que pueden influir en la determinación de la sanción. En cuanto a las alegaciones que exponen que se procedió a contestar al requerimiento de información, si bien no dentro de los plazos otorgados en las notificaciones posteriores al 21 de octubre de 2020, que no ha habido intencionalidad de no facilitar a la AEPD la información requerida y que la situación causada por no atender en tiempo y forma los requerimientos de la AEPD, es fruto de una sucesión de errores y acontecimientos desafortunados, no vienen si no a confirmar que el reclamado no ha procurado a la Agencia Española de Protección de Datos la información que le requirió, sin que sea excusable dicha argumentación, toda vez que es el responsable, en cumplimiento de sus obligaciones de responsabilidad proactiva, quien debe implantar las medidas técnicas y organizativas necesarias, tal y como expresan los artículos 24 y 25 del RGPD. El hecho denunciado, aparece acreditado por las actuaciones y documentación obrantes en el expediente, siendo constitutivo de infracción, toda vez que con la señalada conducta del reclamado, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada, significándose que las alegaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. En consecuencia, las alegaciones deben ser desestimadas. Por tanto, los hechos descritos en el apartado de “Hechos” se estiman constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación: “
- a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
- b)llevar a cabo investigaciones en forma de auditorías de protección de datos;
- c)llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
- d)notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento;
- e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
- f)obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 TERCERO: Esta infracción se tipifica en el artículo 83.5.
- e)del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1”. En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.
- o)La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente.” CUARTO: La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En consecuencia, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
- k)del citado artículo 83.2 RGPD. En la valoración inicial se apreció que no resultaba de aplicación ningún atenuante y se han considerado, como agravantes, los siguientes hechos: - Art. 83.2
- b)RGPD: la intencionalidad o negligencia en la infracción. Se trata de una empresa que no es de nueva creación y debiera disponer de procedimientos establecidos para el cumplimiento de las obligaciones que contempla la normativa de protección de datos, entre ellas, para responder a los requerimientos de la autoridad de control. - Art. 83.2
- k)RGPD: cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. La reclamación hace referencia al caso particular de una persona, pero el tratamiento de datos al que se refiere puede afectar potencialmente a un número muy elevado de clientes de la entidad responsable o de usuarios del servicio prestado por la entidad responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a FUENSANTA S.L., con CIF B28062073, por una infracción del artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 3.000,00 € (TRES MIL EUROS). SEGUNDO: NOTIFICAR la presente resolución a FUENSANTA S.L. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-26102021 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es