PS-00343-2022

1/12  Expediente N.º: EXP202105918 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante), en fecha 8 de noviembre de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra D. B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante denuncia la recepción de un correo electrónico publicitario, de fecha 21 de octubre 2021, remitido por la parte reclamada a múltiples destinatarios sin utilizar la funcionalidad de copia oculta. Junto a la reclamación aporta copia de dicho correo electrónico y sus cabeceras, así como copia del correo electrónico remitido por la parte reclamante, en el que solicita a la parte reclamada dejar de recibir más correos electrónicos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 11 de enero de 2022, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: En fecha 8 de febrero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se comunica la admisión a trámite de la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Fecha en la que tuvieron lugar los hechos reclamados: 21 de octubre de 2021. Documentación relevante aportada por la parte reclamante:  Copia del correo electrónico recibido en la cuenta de correo electrónico ***EMAIL.1 en el que figura como remitente la dirección de correo electrónico ***EMAIL.2 y la fecha 21 de octubre de 2021.  Cabeceras de internet de dicho correo.  Copia del correo electrónico remitido desde la dirección de correo electrónico ***EMAIL.1 a la dirección de correo electrónico ***EMAIL.2, el día 20 de octubre de 2021, solicitando no recibir más correos electrónicos. El reclamante aporta un correo electrónico y sus cabeceras, en el que consta como fecha de envío el día 21 de octubre de 2021, como remitente la dirección de correo electrónico ***EMAIL.2 y como destinatarios, una lista de distribución de aproximadamente 160 direcciones de correo electrónico, entre las que se encuentra la dirección del reclamante ***EMAIL.1. El contenido del correo es referente a información sobre la disponibilidad de espacio para grupos, para comidas, cenas de empresa y Navidades. Al pie del correo se adjunta el enlace a la página web ***URL.1 y el teléfono de información ***TELEFONO.1. Del contenido del correo se desprende que el reclamado tiene como actividad la restauración. Asimismo, aporta copia de un correo electrónico, con fecha de envío de 20 de octubre de 2021, en el que consta como remitente ***EMAIL.1 y como destinatario ***EMAIL.2, comunicando que no desea recibir más notificaciones. En el correo consta como pie de firma el nombre “A.A.A.”. En fecha 30 de marzo y 9 de mayo de 2022, se ha requerido por la Inspección de Datos al reclamado, mediante correo postal, para que, en el plazo de diez días, aportase información y documentación en relación con los hechos denunciados. El primer requerimiento fue devuelto por el Servicio de Correos por “ausente reparto” y el segundo requerimiento fue entregado a su destinatario, en fecha de 20 de mayo de 2022, según consta en el acuse de recibo, sin que hasta la fecha del presente informe se haya recibido respuesta. Se ha verificado por la Inspección de Datos que en el apartado “Datos identificativos” del “aviso legal” de la página web ***URL.1 consta el siguiente texto: (…) QUINTO: En fecha 8 de agosto de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

1. f)del RGPD y artículo 32 del RGPD, tipificados en los artículos 83.5 y 83.4 del RGPD, respectivamente El acuerdo de inicio fue notificado, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 Administraciones Públicas (en adelante, LPACAP), en fecha 22 de agosto de 2022, como consta en el certificado que obra en el expediente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que el correo electrónico sin copia oculta fue enviado por error y que se tendría en cuenta para evitar la repetición de hechos similares en el futuro. SÉPTIMO: En fecha 4 de noviembre de 2022 se formuló propuesta de resolución, proponiendo: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a B.B.B., con NIF ***NIF.1, -por una infracción del artículo 5.1.
2. f)del RGPD, tipificada conforme a lo dispuesto en el artículo 83.5 del RGPD, calificada como muy grave a efectos de prescripción en el artículo 72.1
3. a)de la LOPDGDD, con una multa de 1.000 €. - por una infracción del artículo 32 del RGPD, tipificada conforme a lo dispuesto en el artículo 83.4 del RGPD, calificada como grave a efectos de prescripción en el artículo 73
4. f)de la LOPDGDD, con una multa de 500 €.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibida en fecha 4 de noviembre de 2022, como consta en el certificado que obra en el expediente. OCTAVO: La parte reclamada no ha presentado alegaciones a la Propuesta de Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En fecha 8 de noviembre de 2021, la parte reclamante interpuso escrito de reclamación ante la Agencia Española de Protección de Datos (AEPD), en el que manifestaba su disconformidad con la recepción de un correo electrónico publicitario remitido por la parte reclamada, a múltiples destinatarios, sin utilizar la funcionalidad de copia oculta, haciendo públicas las direcciones de correo personales de todos los destinatarios. SEGUNDO: Comprobada la documentación aportada y que se encuentra incorporada al expediente, consta que en fecha 21 de octubre de 2021, a las 11.30 horas, desde la dirección de correo electrónico: ***EMAIL.2, se envió un correo electrónico a 160 destinatarios aproximadamente, sin copia oculta, haciendo públicas las direcciones de correo personales de todos los destinatarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 TERCERO: La parte reclamada reconoce que el incidente objeto de la reclamación fue debido a un error humano y expone que se tendrá en cuenta para evitar la repetición de hechos similares en el futuro. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en un tratamiento de datos de carácter personal, incluyendo entre los mismos, el factor humano. Los hechos probados en el procedimiento evidencian la divulgación de las direcciones de correo electrónico al ser remitido al reclamante un correo electrónico sin copia oculta con quebrantamiento de las medidas técnicas y organizativas y vulnerando la confidencialidad de los datos. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. III Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que B.B.B., como titular del dominio web ***URL.1 y de la dirección de correo electrónico ***EMAIL.2, realiza tratamientos de datos personales para el desarrollo de su actividad. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, toda vez que desde la dirección de correo electrónico: ***EMAIL.2, se ha enviado un correo electrónico a 160 destinatarios aproximadamente, sin copia oculta, haciendo públicas las direcciones de correo personales de todos los destinatarios. Según el GT29 se produce una “Violación de la confidencialidad” cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos. Hay que señalar que la identificación de una brecha de seguridad no implica la imposición de una sanción de forma directa por esta Agencia, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1.
5. f)del artículo 5 del RGPD. Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 del RGPD. IV Artículo 5.1.
6. f)del RGPD Establece el artículo 5.1.
7. f)del RGPD lo siguiente: “Artículo 5 Principios relativos al tratamiento: 1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5.1
9. f)del RGPD, principios relativos al tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 En el supuesto presente, según documentación aportada por el reclamante y a falta de contestación de la parte reclamada, se puede constatar que, desde la dirección de correo electrónico: ***EMAIL.2, se ha enviado un correo electrónico a 160 destinatarios aproximadamente, sin copia oculta, haciendo públicas las direcciones de correo personales de todos los destinatarios. La remisión de un correo electrónico a una pluralidad de destinatarios sin ocultarles a cada uno de ellos las direcciones de correo electrónico del resto de destinatarios a los que también se dirigía el envío, podría constituir, por parte del reclamado, en su condición de responsable del reseñado tratamiento de datos personales, una vulneración del principio de confidencialidad, al difundir esa información entre los destinatarios del envío sin constar que hubiera obtenido el consentimiento de los mismos para ese especifico tratamiento. En consecuencia, se considera que los hechos acreditados son constitutivos de infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
10. f)del RGPD. V Tipificación de la infracción del artículo 5.1.
11. f)del RGPD La citada infracción del artículo 5.1.
12. f)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
14. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 VI Artículo 32 del RGPD Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
15. a)la seudonimización y el cifrado de datos personales;
16. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
17. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
18. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad al remitir un correo electrónico a un número elevado de destinatarios, sin la función de copia oculta, sin disponer de las medidas técnicas y organizativas apropiadas. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “