1/6 Procedimiento Nº: PS/00364/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 26 de junio de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CLUB ATLANTIDA SUB DE SANTA CRUZ DE TENERIFE con NIF G38097754 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el día 25 de junio de 2019, la Junta Directiva del Club Atlántida Sub en Santa Cruz de Tenerife (compuesta por B.B.B. como Presidente, C.C.C. como Vicepresidenta, D.D.D. como Secretario, E.E.E. como Tesorero y F.F.F. como Vocal, tal y como se informó a los socios mediante correo electrónico el día 17 de junio del corriente) envió un correo a las 19.38 h desde la dirección ***EMAIL.1 a todos los socios sin copia oculta, haciendo accesible las direcciones de correo personales a todos los socios. El día 26 de junio solicitó a la Junta Directiva mediante correo electrónico a la dirección ***EMAIL.1 que mandasen un correo a todos los socios solicitando que borrasen el anterior con las direcciones de correo tanto de su bandeja de entrada como de la papelera. No habiendo obtenido respuesta. Asimismo, manifiesta que el día ***FECHA.1 F.F.F. compartió a las 17.04 en un foro de la aplicación Discord una captura de pantalla con direcciones de correo de socios del Club Atlántida Sub de Santa Cruz de Tenerife. F.F.F. es miembro de la Junta Directiva de dicho club y es el usuario ***USUARIO.1 en el foro Discord. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, el 23 de agosto de 2019, se da traslado de la presente reclamación a la entidad reclamada, solicitándole información sobre las causas que han motivado la incidencia que ha originado la reclamación y las medidas adoptadas para evitar que se produzcan incidencias similares. El reclamado contestó la solicitud de información manifestando lo siguiente: “En fecha 25 de junio de 2019 se remitió un correo electrónico donde se produce la incidencia de seguridad. Se trata de un correo sin datos relevantes relativos a una cena de socios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 En las direcciones de envío, por un error humano, se remite con copia a todos los socios sin usar la herramienta CCO por lo que los remitentes pueden ver los correos electrónicos del resto de socios. El protocolo de envío de correo electrónico prevé que el envío de correos electrónicos con múltiples destinatarios sea mediante CCO para evitar que los destinatarios conozcan el correo del resto de ellos. Para solventar la incidencia se acuerdan las siguientes medidas:
- a)Recordar las normas de uso del correo-e del club
- b)Apercibimiento verbal a la persona que realizó el envío del correo.
- c)Elaboración de protocolo de actuación en incidencias de igual características para el envío de correos-e con múltiples destinatarios, con incorporación de un modelo de mail de comunicación con los afectados. En relación con el mensaje que no se respondió a la socia del Club reclamante del presente caso, el motivo es que no se había implementado el protocolo de actuación en incidencias de envío de correos electrónicos con múltiples destinatarios, si bien se tuvieron en cuenta los hechos relatados en dicho correo electrónico para la adopción de las medias por parte de los miembros de la junta. Por lo que respecta a la aplicación Discord es una aplicación-chat creada por un particular miembro de la anterior junta. La actual junta tiene conocimiento de dicho mensaje debido a la notificación de la AEPD ya que el acceso como administradores de la aplicación se produce con posterioridad a dicho mensaje. El mensaje ha sido borrado por la actual junta ya que era la única medida posible. Hay prevista una junta de socios para la solicitud de disculpas a los afectados por los hechos aquí incluidos e informarles de la eliminación de la aplicación Discord como medio de comunicación entre los socios y El Club. En caso de que los socios soliciten la conservación de dicha aplicación se informará a los socios de que la junta de El Club se desvincula de la App procediendo al borrado del usuario vinculado a la junta y perdiendo con ello cualquier control sobre los mensajes que se publicasen en esa aplicación. “ TERCERO: En fecha 19 de septiembre de 2019 tiene entrada escrito de la reclamante manifestando que el 16 de septiembre de 2019, el reclamado envió de nuevo un correo a todos los socios sin copia oculta, compartiendo las direcciones de aproximadamente 300 socios. CUARTO: Con fecha 29 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el mencionado acuerdo de inicio del presente procedimiento sancionador se le otorga un plazo de audiencia de DIEZ DÍAS HÁBILES para que formule C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 las alegaciones y presente las pruebas que considere convenientes, de acuerdo con lo preceptuado en los artículos 73 y 76 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas. SEXTO: No habiendo formulado alegaciones ni presentado pruebas en el plazo dado, se procede a dictar la presente resolución teniendo en cuenta los siguientes: HECHOS PRIMERO: El día 25 de junio de 2019, la Junta Directiva del Club Atlántida Sub en Santa Cruz de Tenerife envió un correo a las 19.38 h desde la dirección ***EMAIL.1 a todos los socios sin copia oculta, haciendo accesible las direcciones de correo personales a todos los socios. SEGUNDO: El 23 de agosto de 2019, se da traslado de la presente reclamación a la entidad reclamada, solicitándole información sobre las causas que han motivado la incidencia que ha originado la reclamación y las medidas adoptadas para evitar que se produzcan incidencias similares. El reclamado contestó la solicitud de información manifestando que para solventar la incidencia se acuerdan las siguientes medidas:
- a)Recordar las normas de uso del correo-e del club
- b)Apercibimiento verbal a la persona que realizó el envío del correo.
- c)Elaboración de protocolo de actuación en incidencias de igual características para el envío de correos electrónicos con múltiples destinatarios, con incorporación de un modelo de mail de comunicación con los afectados. TERCERO: Pese a las medidas adoptadas, el 16 de septiembre de 2019, el reclamado envió de nuevo un correo a todos los socios sin copia oculta, compartiendo las direcciones de aproximadamente 300 socios. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 58.2 del RGPD y en los artículos 47 y 48.1 de LOPDGDD. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III La presente reclamación denuncia que el reclamado ha remitido al reclamante un correo electrónico promocional, dirigido a una multitud de destinatarios, sin copia oculta. Esta Agencia da traslado de tales hechos al reclamado, para que informase de las causas de la incidencia y adoptase las medidas oportunas para su subsanación. En respuesta a ello, el reclamado responde que el correo objeto de la reclamación, enviado el 25 de junio de 2019, se debió a un error humano y que el mismo 26 de junio de 2019 se acordaron medidas subsanar los hechos, como recordar las normas de uso del correo electrónico en el club, el apercibimiento verbal a la persona que realizó el envío del correo y la elaboración de protocolo de actuación en incidencias de igual características para el envío de correos-e con múltiples destinatarios, con incorporación de un modelo de mail de comunicación con los afectados. Pese a las medidas adoptadas, el 16 de septiembre de 2019, el reclamado envió de nuevo un correo a todos los socios sin copia oculta, compartiendo las direcciones de aproximadamente 300 socios. Por todo ello, se considera que queda constatada la vulneración del artículo 5.1
- f)del RGPD, que rige los principios de integridad y confidencialidad de los datos personales, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. IV El artículo 72.1.
- a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679 V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Sin perjuicio de lo establecido en el artículo 83.5, apartados
- a)y b), del RGPD, en su art. 58.2
- b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CLUB ATLANTIDA SUB DE SANTA CRUZ DE TENERIFE, con NIF G38097754, por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR a CLUB ATLANTIDA SUB DE SANTA CRUZ DE TENERIFE, con NIF G38097754, para que en el plazo de un mes desde este acto de notificación acredite ante este organismo la adopción de las medidas técnicas u organizativas apropiadas para garantizar una seguridad adecuada respecto de los datos personales que trata, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, de conformidad con el artículo 5.1
- f)del RGPD TERCERO: NOTIFICAR la presente resolución a CLUB ATLANTIDA SUB DE SANTA CRUZ DE TENERIFE, con NIF G38097754. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es