← España

PS-00367-2019

1/7 Procedimiento Nº: PS/00367/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 10 de mayo de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VOX ESPAÑA con NIF G86867108 (en adelante, el reclamado). Los motivos en que basa la reclamación son que se ha remitido un correo sin copia oculta a los afiliados de dicho partido político. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, el 24 de mayo de 2019, se da traslado de la presente reclamación a la entidad reclamada, solicitándole que en el plazo de un mes aporte a esta Agencia información sobre las causas que han motivado la incidencia que ha originado la reclamación y las medidas adoptadas para evitar que se produzcan incidencias similares. El reclamado contestó la solicitud de información el 10 de octubre de 2019, manifestando lo siguiente: “El motivo del envío de cierta información interna de VOX ESPAÑA a un escaso número de afiliados en la localidad de Segovia, mediante comunicación vía correo electrónico sin copia oculta de sus direcciones, se debió a un error por parte del personal de la formación política encargado de dicha labor. Lógicamente, no era intención de VOX ESPAÑA dirigir el contenido del comunicado con copia abierta a las direcciones de correo citadas, a lo que debemos sumar el hecho de que su contenido estaba carente de cualquier otro tipo de información o circunstancia personal incluida que pudiese afectar a cualquiera de los receptores Por parte de VOX ESPAÑA y en el momento en que se tuvo conocimiento del error, se procedió a revisar el protocolo y sistemas tecnológicos de envío de comunicaciones electrónicas, comprobando que era el correcto y apropiado para estos fines -envíos no comerciales dirigidos a militantes/afiliados- , si bien el personal encargado no revisó antes de su envío la colocación correcta de las direcciones en la casilla correspondiente; por lo que se procedió a informar a la persona responsable y a reiterar la formación ya recibida, sobre ciertos aspectos concernientes al tratamiento de datos de carácter personal y expresamente incidiendo en la protección de aquellos que merecen un mayor rigor por su carácter sensible, como los concernientes a ideología.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: Con fecha 28 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el acuerdo de inicio del presente procedimiento sancionador, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que el Delegado de protección de datos de la reclamada, mediante correo electrónico de 8 de octubre de 2019, comunicó al reclamante que los hechos denunciados habían sido debidos a un error, reiterándose que “una vez se detectó el error, se procedió a adoptar las medidas de seguridad ajustadas al efecto, de revisión del protocolo de envío de comunicaciones, así como de la formación y concienciación del personal encargado de tales labores para evitar que en el futuro se pudiera repetir acciones similares; debemos indicarle que se trata de casos aislados hasta la fecha, por lo que el que nos compete ahora se trató de un hecho aislado y sin ninguna intencionalidad, sin que por otra parte, ninguno de los titulares de las restantes direcciones que figuran en el envío en cuestión nos haya manifestado queja, reclamación o siquiera interés al respecto sobre tal circunstancia acaecida.” QUINTO: Con fecha 28 de diciembre de 2019 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 2.500 euros (dos mil quinientos euros) por la comisión de una infracción del artículo 5.1.
  2. f)del RGPD en relación con el artículo 5 de la LOPDGDD, tipificada en el artículo 83.5.
  3. a)del RGPD. SEXTO: Notificada la propuesta de resolución del presente procedimiento sancionador, el reclamado presentó escrito de alegaciones en el que manifiesta lo siguiente: “Esta parte considera que la Propuesta de Resolución quebranta el PRINCIPIO DE PROPORCIONALIDAD que rige en la aplicación del Derecho Administrativo Sancionador. En base a los hechos y lo alegado en anteriores escritos, consideramos que aplicando los principios de proporcionalidad la sanción no debería ir más allá del apercibimiento señalado en el artículo 58.2
  4. b)del RGPD que habla de: “sancionar a todo responsable o encargado de tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento”. La aplicación de sanciones administrativas ha de realizarse en base a la intención del infractor y su grado de culpabilidad, a la persistencia o repetición en el tiempo de la infracción, al perjuicio causado por la conducta infractora y a la reincidencia en las actitudes lesivas. Como queda acreditado en la documentación remitida, la comunicación sin copia oculta se debe a un error humano, el Partido Político VOX puso medidas técnicas para evitar nuevos errores en las comunicaciones, se comunicó con los afectados explicando la situación y las medidas, el afectado y denunciante acepto las disculpas y medidas adoptadas por la organización a pesar de mostrar su disconformidad con la organización local. El principio de proporcionalidad de las sanciones administrativas se encuentra regulado en el Art. 29 , Ley 40/2015, de 1 de octubre y se puede definir, según el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Diccionario del español jurídico de la RAE y el CGPJ como la "garantía del derecho administrativo sancionador que debe entenderse consagrada en el artículo 25.1 de la Constitución Española y exige que en la determinación normativa del régimen sancionador así como en la imposición de la sanción por la Administración se guarde la debida adecuación o correspondencia entre la gravedad de la infracción cometida y la intensidad de la sanción aplicada". Lo anteriormente expuesto, ha de conectarse con lo dispuesto en el artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto en su apartado 1 que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
  5. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: la reclamada ha remitido un correo sin copia oculta a los afiliados de dicho partido político. SEGUNDO: La reclamada reconoce los hechos indicando que se trató de un error, y que una vez detectado, se procedió a adoptar las medidas de seguridad ajustadas al efecto, de revisión del protocolo de envío de comunicaciones, así como de la formación y concienciación del personal encargado de tales labores para evitar que en el futuro se pudiera repetir acciones similares. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
  6. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  7. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  8. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  9. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  10. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  11. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III De conformidad con las evidencias obtenidas, se considera que los hechos denunciados, es decir, remitir un correo electrónico promocional sin copia oculta, enviado a una multitud de destinatarios, supone la vulneración del artículo 5.1
  12. f)del RGPD, que rige los principios de integridad y confidencialidad de los datos personales, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. En respuesta a las alegaciones presentadas ante la propuesta de resolución del presente procedimiento sancionador, donde se solicita que sea sancionado con un apercibimiento, de conformidad con el artículo 58.2
  13. b)del RGPD, en virtud del principio de proporcionalidad, ya que los hechos reclamados son como consecuencia de un error humano, debe señalarse que el 24 de mayo de 2019, se dio traslado de la presente reclamación al reclamado, solicitándole que en el plazo de un mes aporte a esta Agencia información sobre las causas que han motivado la incidencia que ha originado la reclamación y las medidas adoptadas para evitar que se produzcan incidencias similares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Aunque el reclamado no se dirigió a esta Agencia hasta el 10 de octubre de 2019, en dicho escrito manifestó que había procedido a adoptar las medidas de seguridad ajustadas al efecto, revisando el protocolo de envío de comunicaciones, así como la formación y concienciación del personal encargado de tales labores para evitar que en el futuro se pudiera repetir acciones similares. IV El artículo 72.1.
  14. a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679 V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  16. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  17. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  18. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes:  En el presente caso estamos ante acción negligente no intencional, pero significativa (artículo 83.2
  19. b) Se encuentran afectados identificadores personales básicos, según el art. 83.2
  20. g)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, al haber sido adoptadas medidas de seguridad ajustadas al efecto, revisado el protocolo de envío de comunicaciones, y procederse a la formación y concienciación del personal encargado del envío de correos electrónicos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VOX ESPAÑA, con NIF G86867108, por una infracción del artículo 5.1.
  21. f)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR a VOX ESPAÑA con NIF G86867108, para que en el plazo de un mes desde este acto de notificación acredite ante este organismo la adopción de las medidas técnicas u organizativas apropiadas para garantizar una seguridad adecuada respecto de los datos personales que trata, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, de conformidad con el artículo 5.1
  22. f)del RGPD TERCERO: NOTIFICAR la presente resolución a VOX ESPAÑA con NIF G86867108. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  23. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.