1/6 Procedimiento Nº: PS/00334/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. con NIF ***NIF.1 (en adelante, la reclamante) con fecha 13 de enero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Dña. B.B.B. con NIF ***NIF.2 (en adelante, la reclamada). La reclamante manifiesta que una extrabajadora ha utilizado los datos de sus clientes para beneficio propio, tras la extinción de su relación contractual. Y, aporta la siguiente documentación: - Contrato de acceso a datos entre las partes. Notificación de la reclamada de que deja de prestar sus servicios. Anulación de citas de sus clientes. Burofax advirtiendo a la reclamada que no puede utilizar para beneficio propio el listado de clientes proporcionado por la reclamante. Queja de una clienta, manifestando su malestar por estar en el grupo de WhatsApp creado por la reclamada para publicar sus productos. SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. TERCERO: Con fecha de 13 de marzo de 2020 se solicitó a la reclamada que aportara a esta Agencia la siguiente información: 1. La decisión adoptada a propósito de esta reclamación. 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5. Cualquier otra que considere relevante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 El escrito se notificó a la reclamada por vía postal siendo la fecha de entrega de la notificación el 15 de junio de 2020, tal como acredita el certificado expedido por el servicio de correos, para que diera respuesta a esta Agencia y a la parte reclamante en el plazo de un mes. En la respuesta presentada por la reclamada el 13 de julio de 2020, no figura el contenido que en ella se menciona. Con fecha 13 de agosto 2020, se reitera la solicitud de información y el 1 de septiembre de este año, la reclamada manifiesta que el 13 de julio de 2020 aportó alegaciones y documentos probatorios, no constando en esta Agencia. De conformidad con lo dispuesto en el artículo 65.2 de la LOPDGDD, con fecha 24 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acuerda admitir a trámite de la presente reclamación. CUARTO: Con fecha 21 de octubre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionadora la reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, la reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “cumplo con el deber impuesto por el art. 6.1 del RGPD, recabando el consentimiento de los clientes cuando les solicito los datos personales, mediante el texto legal que se adjunta como prueba y todos firman en el momento”. SEXTO: Con fecha 14 de diciembre de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas, así como los documentos aportados por la reclamada. SÉPTIMO: Con fecha 16 de febrero de 2021 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a la reclamada, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. OCTAVO: Notificada la propuesta de resolución, la parte reclamada presentó escrito de alegaciones 23 de marzo de 2021, manifestando: “Que acato en su totalidad dicha propuesta y acepto la sanción de apercibimiento. Que he adoptado los procedimientos de recogida de consentimiento previstos en la ley conforme dispone el art. 6.1 RGPD. Que no existen en mis ficheros datos de los clientes de la reclamante que no hayan sido recogidos conforme a la base legitimadora para ello, de acuerdo con lo regulado en el art. 6.1
- a)del RGPD”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 HECHOS PROBADOS PRIMERO: Con fecha 13 de enero de 2020, la reclamante interpone reclamación ante la Agencia Española de Protección de Datos, manifestando que una extrabajadora ha utilizado los datos de sus clientes, sin que tuviera legitimación para ello. SEGUNDO: Consta Burofax advirtiendo a la reclamada que no puede utilizar para beneficio propio el listado de clientes proporcionado por la reclamante, y queja de una clienta, manifestando “yo en ningún momento he dado permiso para ceder mis datos, es más pensaba que estaba protegida por la plataforma de protección de datos”. TERCERO: La reclamada, ha aportado en el presente procedimiento sancionador las medias que ha adoptado. CUARTO: Con fecha 23 de marzo de 2021 la parte reclamada en su escrito de alegaciones a la propuesta de resolución reconoce los hechos y está de acuerdo con la sanción impuesta, y manifiesta: “Que acato en su totalidad dicha propuesta y acepto la sanción de apercibimiento. Que he adoptado los procedimientos de recogida de consentimiento previstos en la ley conforme dispone el art. 6.1 RGPD. Que no existen en mis ficheros datos de los clientes de la reclamante que no hayan sido recogidos conforme a la base legitimadora para ello, de acuerdo con lo regulado en el art. 6.1
- a)del RGPD”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se imputa a la reclamada la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” III Los apartados b),
- d)e
- i)del artículo 58.2 del RGPD disponen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV La documentación que obra en el expediente ofrece evidencias de que la reclamada, vulneró el artículo 6.1 del RGPD, toda vez que está tratando datos de los clientes de la entidad en la que trabajaba, sin que tuviera legitimación para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En este sentido, se aporta por parte de la reclamante la queja formulada por una clienta afectada por el tratamiento de sus datos personales sin base legitimadora, en el mensaje se constata “yo en ningún momento he dado permiso para ceder mis datos, es más pensaba que estaba protegida por la plataforma de protección de datos”. Por tanto, la reclamada no acredita la legitimación para el tratamiento de los datos de los clientes de la reclamante. V Notificada formalmente la propuesta de resolución, la reclamada presentó escrito de alegaciones el 23 de marzo de 2021, manifestado: “Que acato en su totalidad dicha propuesta y acepto la sanción de apercibimiento. Que he adoptado los procedimientos de recogida de consentimiento previstos en la ley conforme dispone el art. 6.1 RGPD. Que no existen en mis ficheros datos de los clientes de la reclamante que no hayan sido recogidos conforme a la base legitimadora para ello, de acuerdo con lo regulado en el art. 6.1
- a)del RGPD”. El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda”. Por lo tanto, a tenor de lo anteriormente expuesto, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Dña. B.B.B., con NIF ***NIF.2, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a Dña. B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es