1/16 Expediente N.º: EXP202409610 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 01/07/2024, la Agencia Española de Protección de Datos tuvo conocimiento de la difusión por parte de A.A.A. con NIF ***NIF.1 (en adelante, A.A.A.) a través de (...) (‘A.A.A.’) de una publicación referida a B.B.B., junto con el siguiente mensaje: “(…)” Junto a la publicación, de fecha ***FECHA.1, figuran (…) los siguientes datos personales: (…). Son legibles los siguientes datos personales: o o o Nombre y apellidos: B.B.B. DNI: ***NIF.2 Domicilio: ***DIRECCION.1 SEGUNDO: En fecha 02/07/2024, (…), en el que se realizó la publicación (‘A.A.A.’) (…). TERCERO: Con fecha 02/07/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones de los artículos 5.1.
- c)y 9 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en el artículo 83.5 del RGPD. Asimismo, el citado acuerdo de inicio ordenaba a la parte reclamada la adopción de la medida provisional consistente en la suspensión temporal del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en (…) (A.A.A.). Esta medida provisional debía adoptarse en el plazo máximo de siete días naturales desde la notificación del acuerdo de inicio del procedimiento sancionador. Dicho acuerdo de inicio, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se intentó notificar mediante correo postal en la dirección ***DIRECCION.2 el 26/07/2024, resultando “Devuelto a Origen por Desconocido”; y en la dirección ***DIRECCION.3, resultando “Devuelto a Origen por Desconocido” el 08/08/2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Finalmente, y de acuerdo con lo dispuesto en el artículo 44 de la LPACAP, se notificó mediante anuncio publicado en el BOE del 14/08/2024. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. QUINTO: Transcurrido también el plazo para la adopción de la medida provisional acordada, en fecha 03/09/2024, esta Agencia accedió a (…) ***APP.1 de (A.A.A.) y comprobó que la publicación objeto de reclamación continuaba accesible. (...). SEXTO: Con fecha 04/09/2024, la Directora de la Agencia Española de Protección de Datos dictó un acuerdo de adopción de medida provisional en el que se requería a ***APP.1 para que, de forma inmediata, retirara temporalmente la publicación objeto de reclamación, ante el incumplimiento de la medida provisional impuesta a la parte reclamada en el acuerdo de inicio del presente procedimiento sancionador. SÉPTIMO: Con fecha 05/09/2024, la instructora del procedimiento dictó propuesta de resolución en la que proponía imponer una multa de 10.000€ a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones del artículo 5.1.
- c)y 9 del RGPD, tipificadas en el artículo 83.5 del RGPD. Asimismo, en la citada propuesta de resolución se proponía elevar a definitiva la medida consistente en la suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en ***APP.1 de (‘A.A.A.’). Dicha propuesta de resolución, conforme a las normas establecidas en la LPACAP, se intentó notificar mediante correo postal en la dirección ***DIRECCION.3, resultando “Devuelto a Origen por Desconocido” el 11/09/2024; y en la dirección ***DIRECCION.2 el 19/09/2024. Finalmente, y de acuerdo con lo dispuesto en el artículo 44 de la LPACAP, se notificó mediante anuncio publicado en el BOE del 03/10/2024. OCTAVO: En fecha 25/09/2024, esta Agencia accedió a ***APP.1 de (A.A.A.) y comprobó que la publicación objeto de reclamación había sido retirada. (...) NOVENO: Notificada la citada propuesta de resolución, conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada (A.A.A.). A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 HECHOS PROBADOS PRIMERO: La parte reclamada es titular de ***APP.1 ‘A.A.A.’. El ***FECHA.1 la parte reclamada publicó en ***APP.1 el siguiente mensaje: “(…)” Junto a la publicación figuran (…) con los siguientes datos personales: (…). Son legibles los siguientes datos personales: o o o Nombre y apellidos: B.B.B. DNI: ***NIF.2 Domicilio: ***DIRECCION.1 SEGUNDO: (...) TERCERO: Mediante acuerdo de inicio de procedimiento sancionador de fecha 02/07/2024 se ordenaba a la parte reclamada la adopción de la medida provisional consiste en la retirada del contenido publicado en (...) objeto de reclamación. Esta medida provisional debía adoptarse en el plazo máximo de siete días naturales desde la notificación del acuerdo de inicio del procedimiento sancionador. A fecha 03/09/2024, transcurrido el plazo concedido para el cumplimiento de la indicada medida provisional, la publicación objeto de reclamación continuaba accesible en ***APP.1 de (A.A.A.). CUARTO: (…) QUINTO: Mediante acuerdo de adopción de medida provisional de fecha 04/09/2024 se requiere a ***APP.1 para que, de forma inmediata, retire temporalmente la publicación objeto de reclamación, ante el incumplimiento de la medida provisional de fecha 02/07/2024 impuesta a la parte reclamada. SEXTO: A fecha 25/09/2024 la publicación objeto de reclamación había sido retirada de ***APP.1 de (‘A.A.A.’). SÉPTIMO: (…). FUNDAMENTOS DE DERECHO I Competencia y procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 De acuerdo con los poderes que el artículo 58.2 RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1 del RGPD define dato personal como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona” Por su parte, el apartado 2 del mismo precepto define el tratamiento de datos como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” El apartado 7 define al responsable del tratamiento o responsable en el siguiente sentido: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;”. Finalmente, el apartado 15 define «datos relativos a la salud» como todos aquellos “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A. ha difundido, entre otros, los siguientes datos personales de B.B.B.: nombre y apellidos, DNI. o domicilio. Junto a estos datos identificativos, la publicación se refiere también a datos de salud (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Asimismo, también se ha realizado un tratamiento de datos personales de (…) a B.B.B. (…). Por último, ha de señalarse que A.A.A. realiza esta actividad en su condición de responsable de tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, por ser (…) ***APP.1 de su titularidad donde se ha producido el tratamiento de datos personales objeto de la presente reclamación. III Minimización de datos personales Las personas tienen el poder de disposición sobre sus datos personales y su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Destacamos el artículo 5.1.
- c)del RGPD que establece que: “1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 No obstante, el derecho fundamental a la protección de datos personales no es absoluto, puesto que, llegado el caso, puede ceder ante la prevalencia de otros derechos y libertades también constitucionalmente reconocidos y protegidos, como, por ejemplo, el derecho fundamental a la libertad de expresión, ponderándose ello caso a caso. En este sentido, el Grupo de Trabajo del Artículo 29 en su Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, al examinar la base jurídica del interés legítimo del artículo 7.1.
- f)de la Directiva 95/46/CE, trasladable plenamente al actual art. 6.1.
- f)del RGPD, incluye el derecho a la libertad de expresión o de información como uno de los supuestos en los que puede surgir la cuestión del interés legítimo aseverando que “sin perjuicio de si los intereses del responsable del tratamiento prevalecerán en último término sobre los intereses y los derechos de los interesados cuando se realice la prueba de sopesamiento”. Dicho lo anterior, el derecho fundamental a la libertad de información tampoco es absoluto. Podemos observar límites clarísimos establecidos por los tribunales en el ámbito civil, en relación con el Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. Así, citaremos, la STS 50/2017, Sala Primera de lo Civil, de 27 de enero de 2017 (recurso 2139/2015) que indica: “En este sentido, es jurisprudencia reiterada (véase entre las más recientes, y a modo de síntesis doctrinal, la sentencia 605/2015, de 3 de noviembre ) que la prevalencia en abstracto de las libertades de expresión e información «solo puede revertirse en el caso concreto atendiendo al peso relativo del honor y de la intimidad según las concretas circunstancias concurrentes, siempre que las informaciones y opiniones que se divulguen se refieran a asuntos de interés general o relevancia pública (por las personas o por la materia), que se prescinda en su comunicación del uso o empleo innecesario de expresiones inequívocamente ofensivas o vejatorias y, en el caso de la libertad de información, siempre que sean veraces, precisándose en todo caso que en el ámbito de protección del derecho a la intimidad el criterio para determinar la legitimidad o ilegitimidad de las intromisiones no es el de la veracidad sino el de la relevancia pública del hecho divulgado, es decir, que su comunicación a la opinión pública, aun siendo verdadera, resulte necesaria en función de interés público del asunto sobre el que se informa” (el subrayado es nuestro). No se trata de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico, sino, más bien, de encontrar un equilibrio entre ambos para lograr la consecución de la finalidad del primero sin desvirtuar el segundo. La conciliación de ambos derechos no es nada nuevo, puesto que el legislador europeo mandata tal conciliación en el artículo 85 del RGPD. Como hemos visto anteriormente, el derecho fundamental a la libertad de expresión no es ilimitado, puesto que la interpretación jurisprudencial, al confrontarlo con otros derechos y libertades, no permite en todo caso y con toda amplitud su reconocimiento, sino que, no obstante, puede verse limitado por otros derechos fundamentales que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 deben también ser respetados. Así, se observa su limitación cuando los datos personales facilitados son innecesarios para alcanzar la finalidad perseguida con la publicación de la información. En este punto, ha de traerse a colación la jurisprudencia que analiza la relación entre la libertad de información, por un lado, y el derecho de los afectados por contenidos de carácter informativo. Así, el Tribunal Europeo de Derecho Humanos (TEDH), en su sentencia de 19 de junio 2012, dictada en el recurso 1593/2006, señala lo siguiente: “Aunque la prensa no debe sobrepasar ciertos límites, en particular en lo que se refiere a la reputación y los derechos de los demás o a la buena administración de la justicia, su deber es, no obstante, impartir, de manera coherente con sus obligaciones y responsabilidades, información e ideas sobre todos los asuntos de interés público (apartado 48) (…), la publicación de fotografías y artículos cuyo único propósito es satisfacer la curiosidad de un lector particular con respecto a los detalles de la vida privada de una figura pública no puede considerarse que contribuya a cualquier debate de interés general para la sociedad a pesar de que la persona sea conocida por el público. En tales condiciones, la libertad de expresión exige una interpretación más estricta (…). (apartado 50). (…) Al verificar si las autoridades han logrado un equilibrio justo entre dos valores protegidos garantizados por el Convenio que pueden entrar en conflicto entre sí en este tipo de casos -la libertad de expresión protegida por el artículo 10 y el derecho al respeto de la vida privada consagrado en el artículo 8-, el Tribunal de Justicia debe equilibrar el interés público en la publicación de la información y la necesidad de proteger la vida privada (véase Hachette Filipacchi Associés c. Francia, n.º 71111/01, § 43, CEDH 2007-VII).(Apartado 51) Por otro lado, la ya mencionada sentencia de 30 de noviembre de 2000, dictada por el Tribunal Constitucional en su recurso 292/2000, razona lo siguiente: “el derecho fundamental a la protección de datos extiende su garantía no sólo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de los bienes de la personalidad que pertenecen al ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal ( STC 170/1987, de 30 de octubre , FJ 4), como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona. El derecho fundamental a la protección de datos amplía la garantía constitucional a aquellos de esos datos que sean relevantes para o tengan incidencia en el ejercicio de cualesquiera derechos de la persona, sean o no derechos constitucionales y sean o no relativos al honor, la ideología, la intimidad personal y familiar a cualquier otro bien constitucionalmente amparado. De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo. Conviene también traer a colación la sentencia 27/2020, de 24 de febrero, dictada por el Tribunal Constitucional en su recurso 1379/2017, en la que razona lo siguiente: "cuando el derecho a la propia imagen entre en colisión con otros bienes o derechos constitucionalmente protegidos, particularmente las libertades de expresión e información (art. 20.1.a y d CE) deberán ponderarse los diferentes intereses enfrentados y, atendiendo a las circunstancias concretas de cada caso, decidir qué interés merece mayor protección" (SSTC 105/1990, de 6 de junio; 72/2007, FJ 5 y 156/2001, FJ 6).(…) Como es fácilmente deducible, esto ocurre no solo en su confrontación con los derechos al honor y a la intimidad, sino también con el derecho fundamental a la propia imagen, por ejemplo, en aquellos casos en los que en la información se difundan fotografías o videoclips que solo puedan entenderse como meros instrumentos de satisfacción de la curiosidad ajena y hayan sido incluidos no con una función informativa, sino con la finalidad de saciar la expectación que, en aquellos términos, puede levantar una determinada noticia” (el subrayado es nuestro). Expuesto lo anterior, ha de recordarse que la información que se difunde en la publicación objeto del presente procedimiento sancionador, al igual que la imagen, objeto de análisis en buena parte de la jurisprudencia recaída en este ámbito, contiene datos de carácter personal y, por lo tanto, ha de aplicarse todas las salvaguardas y garantías de tal forma que se garantice el derecho fundamental a la protección de datos personales de los afectados. En el caso concreto examinado, tal y como se refleja en los Hechos Probados de la presente resolución, A.A.A. difundió a través de (...) (‘A.A.A.’) (…) datos personales de B.B.B. (datos identificativos y de salud); (…). Asimismo, ha de tenerse en cuenta el alcance de la divulgación realizada, en atención a que la publicación estuvo accesible para (…) con los que contaba el ***APP.1 de (‘A.A.A.’) hasta que fue retirada la publicación por parte de ***APP.1, (…) que,hasta entonces, pudieron acceder al contenido publicado. Si bien es cierto que B.B.B. (…), ello no implica la pérdida total del control de sus datos personales, de acuerdo con la jurisprudencia expuesta anteriormente. Los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 personales de DNI o domicilio (…); así como los relativos a (…) son innecesarios para la finalidad de información que podría entenderse que se persigue. Lo mismo ocurre con (…) no aporta un valor añadido a la información que se quiere transmitir. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 5.1.
- c)del RGPD. IV Tipificación y calificación de la infracción del artículo 5.1.
- c)del RGPD La citada infracción del artículo 5.1.
- c)del RGPD supone la comisión de una infracción tipificada en el artículo 83.5, apartado
- a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 5.1.
- c)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a). En el caso que nos ocupa, la publicación de (…) datos personales de B.B.B. y (…)***APP.1 de A.A.A. supone la posibilidad de una difusión inmediata y de gran alcance del contenido, teniendo en consideración que (…) contaba en el momento de la adopción del acuerdo de inicio del presente procedimiento sancionador con (…) en el momento en que el contenido fue retirado. La intencionalidad o negligencia en la infracción (apartado b). La difusión de (…) los datos personales de B.B.B., así como (…), se realizó directamente por A.A.A. de forma intencionada, tal y como demuestra que dicha publicación haya venido acompañada de ciertas consideraciones de carácter valorativo por su parte. Las categorías de los datos de carácter personal afectados por la infracción (apartado g). Como hemos indicado, (…), como el DNI, dato considerado particularmente sensible en tanto en cuanto, si el tratamiento de este dato no va acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con los riesgos que ello entraña para la privacidad, el honor y el patrimonio del suplantado. Asimismo, también se han visto expuestos datos de categorías especiales, en concreto, datos de salud de B.B.B. (…). El balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.c), permite fijar una multa administrativa de 5.000€ (cinco mil euros). VI Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD dispone lo siguiente: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado.
- a)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- b)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- c)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- d)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- e)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- f)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- g)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16
- h)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
- i)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.” En el presente caso, la publicación objeto del presente procedimiento sancionador incluía (…) datos de salud de B.B.B.(…). Los datos de salud, por su naturaleza, pertenecen a categorías especiales de datos, regulados en el artículo 9 del RGPD, que establece una prohibición general de su tratamiento. Así pues, su tratamiento requiere la concurrencia de alguna de las circunstancias recogidas en el apartado 2 del citado artículo que levante la prohibición general de tratamiento. No obstante, en el presente supuesto, no concurren ninguna de las circunstancias que levanten la prohibición para realizar el tratamiento de tales categorías especiales de datos personales. Por tanto, de conformidad con las evidencias de las que se dispone en esta fase de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 9 del RGPD. VII Tipificación y calificación de la infracción del artículo 9 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 La citada infracción del artículo 9 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5, apartado
- a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica. (…)” VIII Sanción por la infracción del artículo 9 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a). En el caso que nos ocupa, la publicación de (…) datos personales de B.B.B. y (…)***APP.1 de A.A.A. supone la posibilidad de una difusión inmediata y de gran alcance del contenido, teniendo en consideración que (…) contaba en el momento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 adopción del acuerdo de inicio del presente procedimiento sancionador con (…). La intencionalidad o negligencia en la infracción (apartado b). La difusión de (…) los datos personales de B.B.B., así como (…), se realizó directamente por A.A.A. de forma intencionada, tal y como demuestra que dicha publicación haya venido acompañada de ciertas consideraciones de carácter valorativo por su parte. Las categorías de los datos de carácter personal afectados por la infracción (apartado g). Como hemos indicado, (…) contienen datos identificativos de B.B.B., como el DNI, dato considerado particularmente sensible en tanto en cuanto, si el tratamiento de este dato no va acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con los riesgos que ello entraña para la privacidad, el honor y el patrimonio del suplantado. El balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 9, permite fijar una multa administrativa de 5.000€ (cinco mil euros). IX Adopción de medidas La infracción en la materia que nos ocupan puede dar lugar a la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En tal caso, esta Agencia podrá requerir a la entidad responsable para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho del presente acuerdo. En atención a las circunstancias analizadas en la presente resolución de procedimiento sancionador se entiende que A.A.A. estaría realizando un tratamiento de datos personales excesivos, especialmente en atención a la naturaleza de los datos objeto de tratamiento. Por ello, se considera que la continuación del tratamiento comportaría un menoscabo muy grave e irreparable para los derechos los potenciales afectados. Debe recordarse que en el acuerdo de inicio del presente procedimiento sancionador se acordó imponer como medida provisional la suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en ***APP.1 (‘A.A.A.’). Y, por tanto, a fin de salvaguardar y garantizar los derechos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 libertades de los afectados, se acuerda elevar a definitiva la medida provisional impuesta. Se advierte que no atender la adopción de medidas impuestas por este organismo en la resolución que ponga fin al presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por: - Una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una multa administrativa de cuantía 5.000€ (cinco mil euros). - Una infracción del artículo 9 del RGPD, tipificada en el artículo 83.5
- a)del RGPD, una multa administrativa de cuantía 5.000€ (cinco mil euros). SEGUNDO: CONFIRMAR, elevándola a definitiva, la medida provisional impuesta a A.A.A., con NIF ***NIF.1, cuyo cumplimiento deberá acreditarse al día siguiente de la notificación de la presente resolución de procedimiento sancionador: - La suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en ***APP.1 (‘A.A.A.’). TERCERO: NOTIFICAR la presente resolución a A.A.A., con NIF ***NIF.1. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-00000000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es