1/13 Expediente N.º: EXP202103936 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 17 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANQUETES SANTA ANA, S.L. con NIF B30324107 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que en fecha 23 de octubre de 2021 se encontraba previsto celebrar una celebración nupcial en el restaurante reclamado y que dicha entidad ha solicitado a la pareja que celebra el evento que aporte datos personales de los invitados, entre ellos el número de DNI, por seguridad ante la situación de pandemia por la COVID-19, sin aportar información en torno al tratamiento de datos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 17 de noviembre de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 11 de diciembre de 2021 se recibe en esta Agencia escrito de respuesta indicando que la entidad reclamada actúa de conformidad con lo establecido en la Orden de 1/6/21 de la Consejería de Salud, se establecen los niveles de alerta sanitaria por COVID-19 en la Región de Murcia, así como las medidas generales y sectoriales aplicables a los diferentes sectores de actividad en atención al nivel de alerta sanitaria. Continúa explicando que el artículo 13.3.6 de dicha norma establece que: el organizador de cada evento deberá disponer de un protocolo específico de seguridad frente a la transmisión del COVID19 y nombrar un coordinador COVID, que será el responsable de aplicar el protocolo, garantizar en todo momento el control del aforo, el respeto a la distancia de seguridad, el uso de mascarillas y el resto de medidas sanitarias aplicables. De igual manera, el coordinador COVID tendrá la obligación de recoger los datos identificativos de todos los asistentes y trabajadores, con indicación de la mesa que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 ocupa. Esta información deberá ser proporcionada a la Dirección General competente en materia de salud pública en caso de que así se solicite. La parte reclamada aporta fotos de los carteles colocados de forma visible en varias zonas de entrada a las instalaciones. Además, en la página web de la entidad https://banquetessantaana.com/, en la política de privacidad https://banquetessantaana.com/politica-de-privacidad/, también se informa de este tratamiento de datos y de la posible cesión de dichos datos a la autoridad competente en materia de salud en caso de ser requerido para ello. A pesar de que la gran mayoría del recabado de los datos personales se hace de manera física en las dependencias del responsable, se ha colocado igualmente en la página web, a través de la política de privacidad, la información relativa al tratamiento de datos personales de los clientes e invitados, con especial referencia al tratamiento establecido por la Orden de la Comunidad Autónoma. Así mismo, se informa de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de los datos personales, así como a acudir a la autoridad de control competente en la materia (AEPD). TERCERO: Con fecha 17 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 07/06/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.
- c)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a la parte reclamada conforme a las normas establecidas en LPACAP, fue recogido en fecha 29/07/2022, como consta en el acuse de recibo que obra en el expediente. QUINTO: Con fecha 04/08/2022, se recibe escrito del presunto representante de la parte reclamada solicitando que se le facilite copia del expediente. SEXTO: Con fecha 10/08/2022, el órgano instructor del procedimiento remite escrito de subsanación para que se remita acreditación de la representación con el fin de facilitarle copia del expediente. El citado acuerdo se notifica a la parte reclamada en fecha 10/08/2022, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 11 de agosto de 2022, se recibe en esta agencia copia del Certificado de inscripción de apoderamiento apud-acta en el archivo electrónico de apoderamientos judiciales que acredita la capacidad de representación para cualquier actuación judicial conforme a lo dispuesto en el artículo 25.1 de la Ley 1/2000, de Enjuiciamiento Civil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 OCTAVO: Con fecha 16/08/2022, se recibe en esta Agencia, en tiempo y forma, escrito de alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que se solicitaba los datos de nombre, apellidos y DNI por entender que así le obligaba el artículo 13.3.6 de la Orden de 1 de junio de 2021 de la Consejería de Salud. Asimismo, explica que aplicaba el procedimiento interno que aplicaba con el fin de minimizar los datos. Afirma que su intención ha sido en todo momento la de respetar el ordenamiento jurídico vigente, llevando a cabo su actuación con la máxima diligencia posible para finalmente resaltar que no les consta ninguna otra queja o reclamación similar según la parte reclamada porque los propios asistentes ya sabían y entendían que les iban a pedir sus datos personales gracias a la información divulgada por los medios de comunicación locales respecto a que los establecimientos hosteleros iban a estar obligados a identificar a los asistentes a este tipo de eventos. NOVENO: Con fecha 6 de febrero de 2023 se formuló propuesta de resolución, en la que se dio respuesta a las alegaciones formuladas y se propuso que se sancionara a BANQUETES SANTA ANA, SL., con NIF B30324107, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, con una multa de 5.000 € (cinco mil euros). DÉCIMO: El día 15 de febrero de 2023 se recibe en esta agencia escrito de alegaciones frente a la propuesta de resolución en el que, en síntesis, se recogen las siguientes alegaciones: 1.- Comienza sus alegaciones afirmando nuevamente que la petición de los datos de los asistentes por parte de Banquetes Santa Ana se produce por entender que asi lo exigía la Orden de 1 de junio de 2021 de la Consejería de Salud de la Comunidad Autónoma de Murcia, adjuntando a su escrito de alegaciones copia tanto de dicha Orden, como de las recomendaciones (Recomendaciones para la elaboración de un plan de contingencia para eventos y actividades multitudinarias en la Comunidad Autónoma de la región de Murcia) emitidas por la Consejería de Sanidad de dicha Comunidad Autónoma. 2.- A continuación, alude a los criterios establecidos en la nota de prensa de la AEPD para destacar que la misma recoge que serán las autoridades sanitarias quienes valoren motivadamente en qué lugares sería obligatorio identificarse y concluir que esto es lo que sucedió en Murcia estableciéndose de manera expresa la necesidad de recabar nombre, apellidos, DNI y teléfono. 3.- A lo anterior añade que su representada estableció un protocolo interno para minimizar el tratamiento de datos que se solicitaba y las personas que tenian acceso al mismo. 4.- Seguidamente, alude a la aplicabilidad del principio de culpabilidad en el ámbito administrativo sancionador, citando diversas sentencias del Tribunal Supremo en las que se recoge la necesidad de que exista dolo o culpa para la aplicación del derecho administrativo sancionador y que le llevan a concluir que en el presente expediente no se dan los presupuestos necesarios para considerar que existe una actuación dolosa o culposa por parte del administrado sin que, a su juicio, lo actuado fue en cumplimiento de una obligación legal dictada por las autoridades competentes en la materia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 5.- En su siguiente alegación, se refiere la reclamada a la actividad de rastreo que se realizaba en la región de Murcia, aportando el Manual de Procedimiento del Equipo de rastreo de la enfermedad COVID-19 en la región de Murcia en el que se recoge la importancia de tener identificados con nombre, apellidos y DNI a los contactos. 6.- Finalmente, la reclamada argumenta, por un lado, que no resulta aplicable el agravante del artículo 83.2 del RGPD al no estar acreditado el número de personas afectadas asi como que, a su entender, en caso de ser sancionado debería serlo con un apercibimiento al no haberse constatado daño efectivo, no existir intencionalidad, ni reincidencia, no tratarse de datos de categorías especiales, no haberse obtenido beneficio, no tener la entidad reclamada como actividad el tratamiento de datos personales y haber colaborado en todo momento con la Agencia. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Que con fecha 2 de junio de 2021 se había publicado en el Boletín Oficial de la Comunidad de Murcia la Orden de 1 de junio de 2021 de la Consejería de Salud, por la que se establecen los niveles de alerta sanitaria por COVID-19 en la Región de Murcia, así como las medidas generales y sectoriales aplicables a los diferentes sectores de actividad en atención al nivel de alerta sanitaria. SEGUNDO: Que el 23 de octubre de 2021 la parte reclamante tenía previsto celebrar en el restaurante propiedad de BANQUETES SANTA ANA, S.L. una celebración nupcial. TERCERO: Que desde BANQUETES SANTA ANA, S.L. se ha solicitado a la pareja que celebraba el evento que aportase los datos personales de los invitados, entre ellos el número de DNI, por seguridad ante la situación de pandemia por la COVID-19, sin aportar información en torno al tratamiento de datos. CUARTO: El artículo 13.3.3 de la Orden de 1 de junio de 2021, de la Consejería de Salud de la Comunidad Autónoma de Murcia que obligaba a “recoger los datos identificativos de todos los asistentes. El artículo 14.3.1 de dicha Orden define los eventos multitudinarios como “todos aquellos actos y convocatorias, que reúnan a más de 200 personas sentadas en el interior, o 300 sentadas al aire libre, y que no se encuadren en ningún otro apartado”. QUINTO: Las “Recomendaciones para la elaboración de un plan de contingencia para eventos y actividades multitudinarias en la Comunidad Autónoma de la región de Murcia” emitidas por la Consejería de Salud recogen como elementos para la identificación de los asistentes a eventos los siguientes datos: nombre, apellidos, DNI, teléfono y correo electrónico. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 I De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En relación con las alegaciones presentadas frente a la propuesta de resolución se realizan las siguientes consideraciones 1.- Como CUESTIÓN PRELIMINAR, se manifiesta que para la Resolución del presente expediente sancionador se han contestado las alegaciones presentadas por la entidad a lo largo de todo el procedimiento y que, en aras a no reiterarse, las da por reproducidas. No obstante, se procede a incidir en lo ya señalado en la propuesta de resolución relativo a la obligación de recogida de datos personales de los asistentes a la celebración nupcial celebrada en las instalaciones de la parte reclamada. Y ello por cuanto parece necesario recalcar que no se pone en tela de juicio en ningún momento la necesidad de identificar a los mismos para cumplir con lo establecido en la Orden de 1 de junio de 2021, sino que lo que se plantea en el presente expediente es el modo en el que dicho mandato se realizaba. Así, se recuerda que la habilitación que hace el ordenamiento para llevar a cabo el tratamiento de datos no implica permisividad absoluta, sino que este debe adecuarse a los principios y resto de contenido previsto en el RGPD y en la LOPDGDD, por lo que sigue siendo aplicable el criterio ya indicado relativo a la obtención del menor número de datos para poder realizar una identificación de los posibles sujetos afectados y considerándose excesiva la petición relativa al DNI. Aun cuando la parte reclamada aduce una supuesta aplicabilidad de las recomendaciones emitidas por la Consejería de Salud para la elaboración de un plan de contingencia para eventos y actividades multitudinarias no puede ser ésta estimada al no ser de aplicación a las celebraciones posteriores a ceremonias nupciales. Y es que ya en la propia Orden de 1 de junio de 2021 se definen y diferencian claramente ambas situaciones, dedicándole a cada una de ellas un articulado específico. Mientras que los primeros se definen y regulan en el apartado 3 del artículo 14, con la rúbrica “Eventos multitudinarios”, los segundos tienen su encuadre en artículo y apartado distinto (13.3). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 2.- En relación con la alegación relativa a la aplicación del principio de culpabilidad al derecho administrativo sancionador, esta Agencia entiende que, efectivamente, resulta plenamente aplicable. Ciertamente, el principio de culpabilidad, previsto en el artículo 28 de la Ley 40/2015, de 1 de octubre, dispone que solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia, no pudiendo ser exigida dicha responsabilidad mas que con la concurrencia de dolo o culpa, aun a título de simple inobservancia. En este mismo sentido se pronuncia el Tribunal Supremo (Sala de lo ContenciosoAdministrativo, Sección 5ª) en su Sentencia num. 179/2023, de 15 de febrero 2023: (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso”. Ahora bien, ello no implica que no concurra la misma en el presente caso por cuanto, tal y como se ha repetido en numerosas ocasiones a lo largo de todo el procedimiento, la interpretación de cómo debía llevarse a cabo la obligación establecida en el artículo 13.3.6 de la Orden de 1 de junio de 2021 debió llevarse a cabo teniendo en cuenta al conjunto del ordenamiento jurídico, en particular, las normas y disposiciones relativas a la protección de datos personales al ser éstos los evidentemente afectados por ella. La necesidad de identificar a las personas asistentes a diversas actividades y centros públicos como consecuencia de la situación sanitaria era una actividad consolidada en el momento de los hechos, por lo que la parte reclamada hubiera podido consultar qué datos personales debía recoger de los asistentes a los eventos organizados por ella, sin que pueda excusarse en lo que entiende como lógica interpretación del mandato impuesto por la norma. 3.- Respecto al Manual de procedimiento del equipo de rastreo en la región de Murcia aportado por la parte reclamada, baste decir que no resulta de aplicación al presente expediente. En el mencionado documento, se recogen las instrucciones, directrices y normas de actuación de los profesionales que llevan a cabo su labor como “rastreadores”, definiéndolos de hecho como a los profesionales encargados de contactar con los pacientes positivos para SARS-CoV-2 con la finalidad de realizar la encuesta epidemiológica, determinar el vínculo epidemiológico y detectar los contactos, debiendo para ello localizar a todas aquellas personas que hayan estado en contacto estrecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 Resulta evidente que no existe identidad entre ambos sujetos y que, mientras que para realizar la labor encomendada a los profesionales de los equipos de rastreo pueda ser necesario en algunos supuestos la obtención del DNI de las personas afectadas, para el coordinador COVID nombrado para las celebraciones posteriores a las ceremonias nupciales no tiene necesidad de ello, siendo suficiente la recogida de los datos mínimos que permitan identificar a los asistentes. 4.- Por último, tampoco puede estimarse la alegación relativa a la no aplicabilidad del agravante del número de personas afectadas. Ello es así por la propia naturaleza de la actividad objeto de sanción, consistente en la recopilación de los DNIs de todos los asistentes a la celebración posterior a la ceremonia nupcial, siendo por tanto evidente que, aun cuando el actual expediente surja de la reclamación singular de uno de los afectados éste no puede ser el único. III El artículo 5 del RGPD establece que los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 En el presente caso, y siguiendo la argumentación recogida a lo largo del procedimiento sancionador, se considera que la licitud del tratamiento del registro de datos de los asistentes a celebraciones nupciales tiene como base el supuesto del artículo 6.1.
- c)del RGPD: “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”, ya que la Ley 2/2021, de 29 de marzo, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19 establece en su artículo 26, que las entidades públicas o privadas en las que las autoridades sanitarias identifiquen la necesidad de realizar trazabilidad de contactos, tendrán la obligación de facilitar a las autoridades sanitarias la información de la que dispongan o que les sea solicitada relativa a la identificación y datos de contacto de las personas potencialmente afectadas, sin perjuicio del derecho legal a la protección de sus datos. La obligación establecida en el artículo 26 de la Ley 2/2021, de 29 de marzo tuvo su desarrollo normativo en la Comunidad de Murcia a través de la Orden de 1 de junio de 2021 de la Consejería de Salud, en cuyo artículo 13, relativo a las medidas y recomendaciones de carácter sectorial aplicables en función del nivel alerta sanitaria de cada municipio, en su apartado3.6) determinaba la obligación de recoger los datos identificativos de todos los asistentes y trabajadores (específico para celebraciones posteriores relativas a ceremonias nupciales y otras celebraciones similares). La parte reclamada justifica su actuación en su interpretación de dicho precepto, pero la ausencia de un pronunciamiento expreso en cuanto a las categorías de datos necesarios para la realización de los rastreos, no autoriza a los responsables de tratamiento a recoger aquellos datos personales que consideren oportunos o que ellos entienden que más se atienen a la norma. Es necesario tener en cuenta que los tratamientos de datos personales en situaciones de emergencia sanitaria, siguen teniendo que llevarse a cabo de conformidad con la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 del RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad (en este caso, facilitar el rastreo y seguimiento de contactos de casos positivos o sospechosos de COVID-19), principio de limitación del plazo de conservación, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. Sobre este último aspecto, hay que hacer referencia expresa a que los datos tratados habrán de ser exclusivamente los limitados a los necesarios para la finalidad pretendida, sin que se pueda extender dicho tratamiento a cualesquiera otros datos personales no estrictamente necesarios para dicha finalidad. Así resulta esencial no confundir conveniencia con necesidad, porque el derecho fundamental a la protección de datos sigue aplicándose con normalidad, sin perjuicio de que, como se ha dicho, la propia normativa de protección de datos personales establece que en situaciones de emergencia, para la protección de intereses esenciales de salud pública y/o vitales de las personas físicas, podrán tratarse los datos de salud necesarios para evitar la propagación de la enfermedad que ha causado la emergencia sanitaria. Tal y como se ha señalado anteriormente, esta Agencia hizo público su criterio con relación a las categorías de datos que debían ser recogidos para la realización de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 rastreos de posibles contagiados por el Covid-19, con bastante anterioridad al tratamiento en cuestión. Si lo que se pretende es poder localizar rápidamente a un eventual contacto, podría ser suficiente con obtener un número de teléfono, junto con los datos del día y la hora de asistencia al lugar. Este criterio, junto con el de la anonimización de los titulares del dispositivo, ha sido el asumido por el Comité Europeo de Protección de Datos en las Directrices 04/2020 sobre el uso de datos de localización y herramientas de rastreo de contactos en el contexto de la pandemia de COVID-19; criterio que puede extrapolarse a esta situación con las adaptaciones pertinentes. IV De conformidad con las evidencias de las que se dispone, se considera que la parte reclamada ha incumplido el principio de minimización de datos al requerir datos excesivos para la finalidad objeto de tratamiento. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
- c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, y que se encuentra tipificada en el artículo 83.5.
- a)del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, la siguiente:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 V A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en el artículo 83 del RGPD, que señala: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto de este último apartado
- k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción de lo dispuesto en el artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, en una valoración inicial, se estiman concurrentes en el presente caso los siguientes factores: En virtud de las circunstancias del artículo 83.2 del RGPD, se aplica como agravante: - El número de personas afectadas (apartado
- a)pues, aunque se trate de un único reclamante resulta evidente que se han visto afectadas, al menos, todas las personas que asistieron a la boda ya que se trataba de una práctica habitual la solicitud de todos los datos controvertidos respecto de todos los asistentes a los eventos celebrados en su local. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
- c)del RGPD, permite proponer una sanción de 5.000 € (cinco mil euros). VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a BANQUETES SANTA ANA, SL., con NIF B30324107, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 5.000,00 euros (CINCO MIL EUROS). SEGUNDO: NOTIFICAR la presente resolución a BANQUETES SANTA ANA, SL. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-00000000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es