← España

PS-00366-2021

1/7 Procedimiento Nº: PS/00366/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A., actuando en nombre y representación de D. B.B.B., Dña. C.C.C., Dña. D.D.D., D. E.E.E., Dña. F.F.F., D. G.G.G., D. H.H.H. y D. I.I.I. (en adelante, la parte reclamante) con fecha 23 de junio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra D. J.J.J, (APPLY SUPPORT S.L.) con NIF ***NIF.1, (en adelante, la parte reclamada). La parte reclamante manifiesta el envío de correos electrónicos por parte de la reclamada, administrador único de la mercantil Apply Support S.L., revelando datos personales de la parte reclamante en el contexto de una serie de hechos que están siendo objeto de un procedimiento penal, sin su conocimiento ni su consentimiento o alguna otra base legal para ello. Los receptores de la información son terceras empresas que mantienen relaciones comerciales con la compañía para la cual trabajan los reclamantes actualmente, siendo el propósito de las comunicaciones justamente el de dañar y romper dichas relaciones comerciales. Los correos electrónicos, además de contener en el propio cuerpo información de carácter personal, contienen adjunto un informe policial en el que claramente figuran datos personales de los reclamantes e información relativa a un procedimiento penal. Quien firma los mismos es la parte reclamante en el informe policial referenciado. El hecho de que no se haya intentado evitar la identificación de los reclamantes mediante la utilización de una técnica o medio (por ejemplo, tachando toda la información personal), revela que el objetivo es causar claramente un grave perjuicio y violar los derechos y libertades de los reclamantes. La parte reclamante aporta copia de dos de los correos electrónicos, aunque tienen conocimiento de la existencia de más correos similares en el mismo contexto, y sostienen que es posible que se hayan enviado otros más de los que no se tiene conocimiento. Documentación relevante aportada por la parte reclamante: Copia de correo electrónico enviado por D. J.J.J. a terceras personas con fecha 18/07/2019 con datos personales de los reclamantes y donde consta un adjunto con nombre “Police report App FO…sh.pdf”. En el cuerpo del correo electrónico consta el texto: “[…]Attached is 2 Police report with legal documents Will show how I.I.I., (…) was in parallel working as CTO and COO setting up a competing Company C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 ( Code-less / App Foundry ) and how they manipulated the accounts in Apply to make me look fraudulent[…] Additional report to Judge in Criminal court 15 in Barcelona where in which FIRA Barcelona testifies against H.H.H. for a fraudulent behaviour - Falsifying contract and invoices is alone a crime that can give 2-5 years in prison if convicted.[…]” Copia de denuncia ante la policía contra los reclamantes con fecha 18 de abril de 2019 y donde constan nombre, apellidos, domicilios y donde se describen hechos en relación al robo de bienes muebles y propiedad intelectual, entre otros. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito. TERCERO: Con fecha 20 de octubre de 2020 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 27 de agosto de 2020, la Agencia Tributaria Servicio de Planificación y Relaciones Institucionales remite a esta Agencia el domicilio fiscal de Apply Support S.L. siendo éste Rambla Catalunya, num 66, planta 1 08007 Barcelona. Con fecha 30/03/2021 se comprueba respecto a Apply Support, S.L. en la web www.axesor.es que: 1. La empresa consta con el estado ACTIVA. 2. El domicilio social es Rambla Catalunya, 66 1 ABC. Barcelona 08007 (BARCELONA). El día 30 de marzo de 2021, se envía requerimiento de información a Apply Support, S.L. La notificación se realiza electrónicamente. Según este sistema de notificación, se ha producido el rechazo automático al haber transcurrido diez días naturales desde su puesta a disposición. Con fecha 30 de marzo de 2021 se envía requerimiento de información a J.J.J,. La notificación se realiza por correo postal a la dirección ***DIRECCIÓN.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 ***LOCALIDAD.1 proporcionada por el reclamante. El escrito se devuelve por el Servicio de Correos con la anotación de “Devuelto a Origen por Desconocido” el 12 de abril de 2021. Posteriormente, el 11 de junio de 2021 se envía requerimiento de información a Apply Support, S.L. La notificación se realiza por correo postal a la dirección Rambla Catalunya, Nº 66, 1º ABC 08007 Barcelona. El escrito se devuelve por el Servicio de Correos con la anotación de “Devuelto a Origen por Desconocido” el día 23 del mismo mes y año. Con fecha 15/06/2021, la Agencia Tributaria Servicio de Planificación y Relaciones Institucionales remite a esta Agencia el domicilio fiscal y NIF de J.J.J, siendo su domicilio fiscal ***DIRECCIÓN.1***LOCALIDAD.1. QUINTO: Con fecha 26 de julio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5

  1. a)del RGPD. Dicho acuerdo fue notificado a través del operador público postal y el tablón edictal único del BOE el 10 y el 18 de agosto de 2021, a la parte reclamada. SEXTO: Notificado formalmente el acuerdo de inicio, la parte reclamada al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
  2. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Con fecha 23 de junio de 2020, la parte reclamante manifiesta el envío de correos electrónicos por parte de la reclamada, administrador único de la mercantil Apply Support S.L., revelando datos personales de la parte reclamante en el contexto de una serie de hechos que están siendo objeto de un procedimiento penal, sin su conocimiento ni su consentimiento o alguna otra base legal para ello. Los receptores de la información son terceras empresas que mantienen relaciones comerciales con la compañía para la cual trabajan los reclamantes actualmente, siendo el propósito de las comunicaciones justamente el de dañar y romper dichas relaciones comerciales. SEGUNDO: Queda acreditado, que los correos electrónicos, además de contener en el propio cuerpo información de carácter personal, contienen adjunto un informe policial en el que claramente figuran datos personales de los reclamantes e información relativa a un procedimiento penal. TERCERO: La parte reclamante aporta copia de dos de los correos electrónicos y copia de denuncia ante la policía contra los reclamantes con fecha 18 de abril de 2019 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 y donde constan nombre, apellidos, domicilios y donde se describen hechos en relación al robo de bienes muebles y propiedad intelectual, entre otros. CUARTO: El 26 de julio de 2021 se inició este procedimiento sancionador por la presunta infracción del artículo 6 del RGPD, siendo notificado el 18 de agosto de 2021. No habiendo efectuado alegaciones, la parte reclamada, al acuerdo de inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 6.1 del RGPD, que señala los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
  3. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  4. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  7. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III De conformidad con las evidencias de las que se dispone se considera probado que la parte reclamada procedió a difundir a través de correos electrónicos datos personales de la parte reclamante, adjuntando un informe policial en el que figuran sus datos personales e información relativa a un procedimiento penal, sin base legal para ello. Los receptores de la información son terceras empresas que mantienen relaciones comerciales con la compañía para la cual trabajan los reclamantes actualmente, siendo el propósito de las comunicaciones justamente el de dañar y romper dichas relaciones comerciales. Por lo tanto, queda constatado que la parte reclamada difundió a través de los correos electrónicos los datos personales de la parte reclamante, y por consiguiente es la responsable de la vulneración de la confidencialidad al difundir dichos datos, por lo que se considera que ha vulnerado el artículo 6.1 por un tratamiento ilícito de los datos personales de la parte reclamante, en relación con el artículo 5.1
  9. f)del RGPD, que rige los principios de integridad y confidencialidad de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. IV El artículo 83.5
  10. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7
  11. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” El artículo 58.2 del RGPD indica:” Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  12. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  13. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado.” Señala el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” No constan sanciones precedentes a la parte reclamada, su actividad no es el tratamiento de datos habitual. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. J.J.J, (APPLY SUPPORT S.L.) con NIF ***NIF.1, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5
  14. a)del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a D. J.J.J, (APPLY SUPPORT S.L.) con NIF ***NIF.1. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  15. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.