1/9 Procedimiento Nº: PS/00341/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Don A.A.A. (*en adelante, el reclamante) con fecha 27 de mayo de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contrala formación política Partido Socialista de Cataluña (PSC-PSOE) con CIF G08564379 (en adelante, el reclamado). Los motivos en que basa la reclamación son “Adjunto documento de constancia de exclusión de datos en copias de censo electoral para entrega a partidos políticos (fecha 06/03/2019). En fecha 17/05/2019 apareció en el buzón de mi domicilio un sobre con mi nombre y dirección, con membrete del partido PSC y en su interior había dos sobres de votación correspondientes a las elecciones municipales 2019, dos papeletas pertenecientes a la candidatura del partido PSC de la localidad deVandellòs i l'Hospitalet de l'Infant y un boletín denominado "La Veu" editado por el grupo municipal socialista correspondiente al mes de mayo. Desconozco qué base han utilizado para obtener mis datos y remitirme propaganda electoral; si no es la del censo electoral tal vez haya habido alguna cesión sin respetar la normativa” (folio nº 1). Junto a la reclamación aporta prueba documental de la carta y sobre con el logotipo de la formación política denunciada. (doc. 3 y 4). SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 TERCERO: En fecha 29/05/19 se procedió a TRASLADAR la reclamación a la entidad Instituto Nacional Estadística (INE) a efectos de que realizará las explicaciones oportunas, ante el ejercicio del derecho de oposición reseñado. CUARTO: En fecha 18/06/19 se recibe en esta Agencia escrito de la entidad Instituto Nacional de Estadística (INE) que pone de manifiesto lo siguiente. “De lo expuesto puede concluirse que, siendo la solicitud del Sr. A.A.A. presentada con fecha de 6 de marzo de 2019, estaría excluida de las copias del censo electoral que se entregan a representantes de las candidaturas para realizar envíos postales de propaganda electoral. En este sentido, en el caso concreto del Partit dels Socialistes de Catalunya (PSCPSOE), por la OCE se informa que en fecha 2 de abril de 2019 se había hecho entrega de la preceptiva copia del Censo Electoral a su representante D. B.B.B., a los efectos previstos en la LOREG (doc.1). Junto con dicha copia se hace entrega de una nota donde consta, entre otra información, advertencia expresa sobre aquellos electores que han manifestado su oposición a su inclusión en las copias del Censo Electoral que se facilitan a los representantes de las candidaturas para realizar envíos postales de propaganda electoral”. QUINTO: Con fecha 24 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.
- d)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: En fecha 28/10/19 se recibe escrito de alegaciones de la entidad denunciada manifestando lo siguiente: “Que al no constar hechos nuevos ni variar la calificación jurídica de los mismos, se mantiene en todo aquello expuesto por esta parte en la fase de investigación y que obra en el expediente. Por lo que reconoce los hechos descritos y asume la responsabilidad de los mismos. Por lo que acepta esta notificación como propuesta de resolución en tanto en cuanto al finalizar el procedimiento la sanción se mantenga en el APERCIBIMIENTO por considerarla adecuada, justa y proporcional. Que traslada que por parte de la organización se están llevando a cabo toda una serie de medidas encaminadas a adaptar las actuaciones y procedimientos de la misma y en relación a los hechos de referencia a las prescripciones de la regulación en materia de protección de datos (revisión de protocolos, formación a empleados y afiliados, etc…) para así lograr los más altos estándares de cumplimiento y evitar que situaciones como esta se vuelvan a repetir. Es por todo lo expuesto que interesa a la Agencia de Protección de Datos, tenga por hechas las manifestaciones en este escrito contenidas por cuanto el Partit dels Socialistes de Catalunya (PSC-PSOE) asume la descripción de los hechos así como la calificación jurídica que de ellos se hace, que se reitera y mantiene en todo lo expuesto por su parte en la fase de investigación y que acepta la eventual sanción de apercibimiento como la prevista en la propuesta de resolución, reservándose la posibilidad de recurrirla, si de la fase de instrucción se variasen los hechos o aparecieran nuevos, se modificase la calificación jurídica de los mismos o se propusiese otra sanción más gravosa que el apercibimiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero. En fecha 27/05/19 se recibe en esta Agencia reclamación por medio de la cual el Denunciante traslada los siguientes “hechos”: “apareció en el buzón de mi domicilio un sobre con mi nombre y dirección, con membrete del partido PSC y en su interior había dos sobres de votación correspondientes a las elecciones municipales 2019, dos papeletas pertenecientes a la candidatura del partido PSC de la localidad deVandellòs i l'Hospitalet de l'Infant y un boletín denominado "La Veu" editado por el grupo municipal socialista correspondiente al mes de mayo” (folio nº 1). Segundo. Consta identificada como principal responsable la formación política Partido Socialista de Cataluña (PSC-PSOE) con CIF G08564379. Tercero. Consta acreditado que el denunciante ejercito derecho de oposición a la recepción de propaganda electoral, con fecha de presentación 06/03/2019 22:51:10 (Horario peninsular)-Doc. nº 1--. Cuarto. Consta acreditada la recepción de propaganda electoral en el domicilio del denunciante, estando este aspecto acreditado por el denunciado (doc. 2-3), al haber utilizado los representantes de la formación un listado electoral anterior. Quinto. La entidad denunciada PSC (PSOE) reconoce el “error” en los siguientes términos: “el error, alegaron en su defensa que, aquel proceder era fruto, en primera instancia de la buena fe, del desconocimiento y de la falta atención a la formación en materia de protección de datos ofrecida por la organización (…)”. Sexto. La entidad denunciada lega en escrito 05/07/19 la adopción de la siguiente medida: “Señalar que la organización está actualmente inmersa en un proceso de implantación de la “Compliance Penal” de la que una parte importante versa sobre la protección de datos, por lo que todo lo referente a esta materia está siendo objeto de tratamiento específico con tal que, la organización en su conjunto así como todos y cada uno de sus integrantes, profesionales y afiliados, adquieran un alto grado de sensibilización, formación y conocimiento”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 II En el presente caso, se procede a examinar la reclamación de fecha 27/05/19 por medio de la cual el Denunciante traslada los siguientes “hechos”: “apareció en el buzón de mi domicilio un sobre con mi nombre y dirección, con membrete del partido PSC y en su interior había dos sobres de votación correspondientes a las elecciones municipales 2019, dos papeletas pertenecientes a la candidatura del partido PSC de la localidad deVandellòs i l'Hospitalet de l'Infant y un boletín denominado "La Veu" editado por el grupo municipal socialista correspondiente al mes de mayo” (folio nº 1). Por tanto, los hechos se concretan en la recepción de propaganda electoral a pesar de haber ejercitado el derecho de oposición a recibir cualquier tipo de mailing electoral. En apoyo de su pretensión aporta documento acreditativo del resguardo de ejercicio del derecho ante el INE (Doc. nº 1) con fecha de presentación 06/03/2019 22:51:10 (Horario peninsular). Asimismo, acredita la recepción de propaganda electoral, con el envío del sobre la formación objeto de denuncia a la dirección del mismo (Doc. nº 2-3). La herramienta legal que permite a los ciudadanos solicitar el derecho de exclusión que nos ocupa la encontramos en la reciente Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDPGDD), que introdujo en su Disposición final tercera dos modificaciones a la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General (en adelante LOREG). El párrafo 5º de este artículo 58 bis garantiza que se facilite “al destinatario un modo sencillo y gratuito de ejercicio del derecho de oposición a este envío de propaganda electoral”. El artículo 39.3 LOREG (LO 5/1985, de 19 de junio, del Régimen Electoral General) dispone lo siguiente: “Dentro del plazo anterior, cualquier persona podrá formular reclamación dirigida a la Delegación Provincial de la Oficina del Censo Electoral sobre sus datos censales, si bien solo podrán ser tenidas en cuenta las que se refieran a la rectificación de errores en los datos personales, a los cambios de domicilio dentro de una misma circunscripción o a la no inclusión del reclamante en ninguna Sección del Censo de la circunscripción pese a tener derecho a ello. También serán atendidas las solicitudes de los electores que se opongan a su inclusión en las copias del censo electoral que se faciliten a los representantes de las candidaturas para realizar envíos postales de propaganda electoral. No serán tenidas en cuenta para la elección convocada las que reflejen un cambio de residencia de una circunscripción a otra, realizado con posterioridad a la fecha de cierre del censo para cada elección, debiendo ejercer su derecho en la sección correspondiente a su domicilio anterior”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 En el RGPD (así como en la LOPDGDD) se reconoce expresamente el derecho del interesado a oponerse -en cualquier momento- por motivos relacionados con su situación particular, a que los datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
- e)o
- f)del RGPD, incluida la elaboración de perfiles sobre la base de dichas disposiciones. Por su parte, la LOPDGDD en su artículo 18 regula el derecho de oposición en los siguientes términos: “El derecho de oposición, así como los derechos relacionados con las decisiones individuales automatizadas, incluida la realización de perfiles, se ejercerán de acuerdo con lo establecido, respectivamente, en los artículos 21 y 22 del Reglamento (UE) 2016/679”. El artículo 21 RGPD REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 dispone lo siguiente: “El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
- e)o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El derecho de oposición permite al interesado, en los casos previstos en el RGPD, oponerse al tratamiento de sus datos personales. Y el responsable del tratamiento tendrá que dejar de tratarlos Así, conforme lo dispuesto en el artículo 21 del Reglamento, el responsable del tratamiento vendrá obligado a dejar de tratar los datos personales del interesado, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. No obstante lo anterior, para el caso específico de ejercicio del derecho de oposición al tratamiento de datos para la realización de envíos de propaganda electoral, dicho derecho deberá ejercitarse de acuerdo con lo establecido en la normativa que regula los procesos electorales y surtirá los efectos previstos en la misma. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamación”. El Acuerdo 2/2019, de 23 de enero de 2019, de la Junta Electoral Central establece lo siguiente sobre esta oposición: <<1º) Con objeto de facilitar la tramitación de las solicitudes de los electores que se opongan a su inclusión en las copias del censo electoral que la Oficina del Censo Electoral debe entregar a los representantes de las candidaturas para realizar envíos de propaganda electoral, dichas solicitudes podrán plantearse con anterioridad a la convocatoria de un proceso electoral, en Ayuntamientos, Consulados y Delegaciones Provinciales del Censo Electoral. Asimismo, podrán realizarse en la sede electrónica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 del Instituto Nacional de Estadística, una vez que la Oficina del Censo Electoral haya habilitado dicho trámite. 2º) Las referidas solicitudes de exclusión tendrán efecto permanente hasta que el elector se manifieste en sentido contrario. 3º) La Oficina del Censo Electoral comunicará a los electores la exclusión solicitada. 4º) Esta exclusión deberá resultar compatible con que los representantes de las candidaturas puedan disponer de la lista completa de electores a efectos de votación y escrutinio, con los datos imprescindibles para la identificación del elector.>> La convocatoria de las Elecciones Generales de 28 de abril de 2019 se produjo el 05 de marzo, por lo que el plazo para la presentación de las reclamaciones quedó fijado desde el día 11 al 18 de marzo de 2019. En el presente caso, el denunciante ejercitó en tiempo y forma su derecho de oposición ante el Registro de la Oficina de Censo Electoral, constando la fecha de presentación oficial 06/03/2019 22:51:10 (Horario peninsular). La entidad denunciada—PSC (PSOE) manifiesta que se dieron las oportunas ordenes para que no se enviara propaganda electoral, en los casos de carencia del domicilio, en concreto en los siguientes términos: “Como veréis algunos electores no tienen dirección ya que se acogieron al derecho que les dio la ley a no recibir propaganda electoral. BAJO NINGÚN CONCEPTO PUEDEN RECIBIR NINGUNA COMUNICACIÓN DEL PARTIDO. No sé si ha quedado suficientemente claro” A pesar de ello queda constatada la infracción, al recibir el denunciado propaganda electoral (mailing electora) de la formación política en su domicilio, realizando un “tratamiento” de los datos del mismo fuera de los casos permitidos por la normativa en vigor. IV El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tra tamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos deben ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPDGDD". V De conformidad con las alegaciones y pruebas aportadas en el presente procedimiento sancionador se considera que el reclamado (
- a)no ha atendido el derecho de oposición ejercitado en tiempo y forma por el denunciante, que recibió propaganda electoral a pesar de haberse opuesto expresamente al respecto. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 21 RGPD, al no atender de manera efectiva el ejercicio del derecho mencionado. Por otra parte, la LOPDGDD, en su artículo 72.1.k), califica de infracción muy grave, a efectos de prescripción, “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” La documentación que obra en el expediente evidencia que la reclamada vulneró el artículo 21 del RGPD, ya que a pesar de que el reclamante ejercitó su derecho de oposición, en tiempo y forma, para que no se le enviase publicidad electoral postal, la recibió en su domicilio. Por una parte, resulta acreditado que la reclamada trató los datos personales del reclamante -datos domiciliarios, nombre, apellidos y dirección postal- asociados al envío de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 publicidad electoral postal. Obra en el expediente la copia del sobre remitido por el PSC-PSOE a su dirección postal, y de la propaganda electoral recibida. Por otra, la reclamada carecía de legitimación para el tratamiento de los datos personales del reclamante para el envío de propaganda electoral al haberse opuesto a la recepción de dicha propaganda en la Oficina Electoral del INE. El artículo 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22 (…)”. VI En la determinación de la sanción administrativa que corresponda imponer, debemos leer algunos Considerandos del RGPD, entre otros, el 148, que indica lo siguiente: <<A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas multas administrativas, con carácter adicional a medidas adecuadas impuestas por la autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante. La imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías.>> En el caso objeto de reclamación debemos tener en consideración que, hasta hace muy pocos meses, los partidos políticos estaban habilitados para enviar propaganda electoral a todos los electores durante la campaña electoral. No se recogía en ninguna norma la posibilidad de oponerse a dichos envíos. Esta habilitación ha sido limitada por la modificación de la LOREG recogida en la LOPDGDD. Por tanto, los partidos políticos han tenido un periodo muy breve de tiempo para adecuarse a esta limitación y se han producido escasas reclamaciones por ello. Teniendo en consideración el número tan limitado de afectados, las medidas adoptadas, los escasos daños producidos por el tratamiento realizado, y que es la primera vez que se produce esta situación, se acuerda sancionar con un apercibimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 a la formación política PSC-PSOE, debiendo adoptar las medidas necesarias para evitar en lo sucesivo la conducta objeto de denuncia. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a PARTIT DELS SOCIALISTES DE CATALUNYA (PSCPSOE), por una infracción del contenido del art. 21 RGPD, al haber enviado propaganda electoral al denunciado a pesar de su oposición en legal forma, una sanción de APERCIBIMIENTO, infracción tipificada en el art.83.5
- b)RGPD, siendo sancionable de conformidad con el art. 58.2 RGPD. SEGUNDO: NOTIFICAR la presente resolución a PARTIT DELS SOCIALISTES DE CATALUNYA (PSC-PSOE) e INFORMAR del resultado de las actuaciones al denunciante Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es