← España

PS-00383-2019

1/7  Procedimiento Nº: PS/00383/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 29 de septiembre de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos, porque se ha vulnerado el artículo 5 del RGPD, al ser utilizados sus datos personales, en concreto su teléfono para una finalidad distinta para la que fue dado, contraviniendo con ello el principio de limitación de la finalidad en el tratamiento de los datos personales. En concreto, la reclamante presenta esta reclamación contra el técnico B.B.B. con NIF ***NIF.1 con domicilio en ***DIRECCION.1 (en adelante, el reclamado), trabajador de la empresa Jaime García e Hijos, a la que acudió el seguro de la comunidad de propietarios donde reside la reclamante, porque tras realizar su trabajo, el reclamado remitió un mensaje de WhatsApp al teléfono móvil de la reclamante, con una finalidad distinta a la resolución de la avería, pese a ser dicha finalidad la única que causó el tratamiento de sus datos personales. Por ello la reclamante considera que se ha vulnerado el principio de finalidad en el tratamiento de sus datos. Junto a su escrito de reclamación aporta la siguiente documentación:  Parte de trabajo.  Captura de pantalla del mensaje. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). En primer lugar, se pone en conocimiento de la empresa donde trabaja el reclamado la presente reclamación el 3 de noviembre de 2018, requiriéndole para que en el plazo de un mes remita a esta Agencia, información sobre los hechos denunciados, y las medidas adoptadas. Con fecha 23 de noviembre de 2018 se recibe en esta Agencia, con número de registro 206675/2018, escrito de alegaciones correspondiente al traslado de la reclamación procedente de la empresa que contrató los servicios del reclamado en el que exponen, entre otros, los siguientes aspectos:

  1. a)Que el único teléfono del que disponen es el del vecino del piso 1º C que es el que les facilita la compañía de seguros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7
  2. b)Que tras concertarse cita para el 20 de agosto de 2018, se da aviso al fontanero autónomo B.B.B. (en adelante, fontanero) a requerimiento suyo, no realizando a la reclamante trabajo alguno.
  3. c)Que la empresa, no ha facilitado ningún teléfono al fontanero, ya que en los avisos solo se informa del domicilio y la avería que hay que localizar.
  4. d)Que la empresa desconoce quién ha podido facilitar el teléfono de la reclamante al fontanero ya que ellos no lo tenían. Y anexan la siguiente documentación:  Alta de autónomo.  Factura del trabajo realizado por el fontanero. Asimismo, se han podido constatar los siguientes extremos:  Del análisis de la documentación presentada por la reclamante, se observa que el número de teléfono de la reclamante está escrito a mano por el propio fontanero en la parte inferior del parte de trabajo con el comentario entre paréntesis “marroquí”. El hecho de que aparezca este teléfono escrito a mano y con el comentario añadido, da la certeza de que el teléfono fue facilitado por el reclamado en el momento de la visita con objeto de facilitar las actuaciones de reparación.  Realizado requerimiento de información a la operadora VODAFONE ESPAÑA, S.A.U. sobre la titularidad del número de teléfono de origen del mensaje aportado por la reclamante, con fecha 12 de julio de 2019 y 30 de julio de 2019, se reciben en esta Agencia, con números de registro 035374/2019 y 038396/2019 sucesivamente, escritos de alegaciones manifestando que el titular del número de teléfono es: B.B.B. ***DIRECCION.1 Por lo que el fontanero autónomo utilizó el teléfono facilitado por la reclamante para la resolución de la avería, para el envío de un mensaje de texto personal con una finalidad diferente, tal y como se desprende de la lectura del mismo. Así las cosas, como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. TERCERO: Con fecha 22 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.
  5. b)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, el reclamado manifiesta por un lado que se ha vulnerado el principio de presunción de inocencia que ostenta toda persona acusada de una infracción hasta que su culpabilidad haya sido legalmente declarada, solicitando prueba testifical, y por otro que al no venir regulada la duración del procedimiento, la resolución debe dictarse y notificarse en el plazo de tres meses en virtud del artículo 21 de la Ley 39/2015, a contar desde el registro de la denuncia en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 AEPD, por lo que en el presente procedimiento sancionador se ha producido la caducidad de este. QUINTO: Con fecha 28 de enero de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/00927/2019. SEXTO: Con fecha 29 de enero de 2020, se remite propuesta de resolución al reclamante, proponiéndose que se sancione al reclamado con una multa de 2.000,00 € (DOS MIL euros), por incurrir en una infracción del artículo 5.1.
  6. b)del RGPD, tipificada en el artículo 83.5 del RGPD, según el artículo 72.1.
  7. a)de la LOPDGDD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamado, tras realizar su trabajo como fontanero, remitió el 20 de agosto de 2018 a las 09:48 un mensaje de WhatsApp al teléfono móvil de la reclamante, cuyo contenido es el siguiente: “Hola soy el fonta que acavo de estar en tu casa. Joe Amandita la verdad que me estabas poniendo mu malito pero con esa camiseta de boxeo he dicho uff a ver si me va a pegar :) :) y he dicho pir si acaso mejor no la digo na jjjjjs. Estas mu bonita hija ;-)” Tras la lectura de este mensaje la reclamante presenta la correspondiente reclamación al entender que el número de su teléfono móvil ha sido utilizado por el reclamado para una finalidad distinta para la que se le dio, que no era otra que la resolución de una avería. SEGUNDO: El reclamado es trabajador autónomo de la empresa Jaime García e Hijos, a la que acudió el seguro de la comunidad de propietarios donde reside la reclamante. La empresa que contrató los servicios del reclamado, manifiesta que desconoce quién ha podido facilitar el teléfono de la reclamante al fontanero ya que ellos no lo tenían, y sólo se le informó al reclamado del domicilio y la avería que había que reparar. TERCERO: Esta Agencia realizó requerimiento de información a la operadora VODAFONE ESPAÑA, S.A.U. sobre la titularidad del número de teléfono de origen del mensaje recibido por la reclamante, y del que aporta copia, constatándose que el titular del número de teléfono es el reclamado: B.B.B. ***DIRECCION.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 6.1 del RGPD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
  8. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  9. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  10. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  11. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  12. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  13. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 III Se considera probado que el citado WhatsApp fue enviado desde el teléfono móvil titularidad del reclamado y que el contenido del mensaje no está relacionado con la actividad profesional del reclamado, sino que por el contrario, utiliza el número de teléfono facilitado por la reclamante para el envío de un mensaje de texto personal, es decir, con una finalidad distinta para la que fue dado dicho dato, que no es otra que la estrictamente profesional entre cliente y reclamado. Estos hechos se acreditan por un lado al aportar la reclamante junto a su escrito de reclamación, el parte de trabajo del reclamado y la captura de pantalla del mensaje, y por otro al constatarse la titularidad del número de teléfono que envió dicho WhatsApp, a través del escrito remitido por VODAFONE, en respuesta al requerimiento de información de la AEPD. En relación con la prueba testifical solicitada por el reclamado, hay que señalar que de conformidad con el artículo 77.3 de la LPACAP, se considera improcedente o innecesaria, ante los documentos que obran ya en el expediente, pantallazo con el contenido del mensaje de objeto de esta reclamación y el informe emitido por VODAFONE sobre la titularidad del número de móvil que envió dicho mensaje. Por lo tanto, se imputa al reclamado la comisión de una infracción por vulneración del artículo 5.1.
  14. b)del RGPD, que regula el principio de limitación de la finalidad, estableciendo que los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines, así mismo se establece también la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. IV En respuesta a las alegaciones presentadas, respecto a la presunción de inocencia, hay que señalar que resulta probado que el WhatsApp objeto del presente caso, es remitido desde el número de teléfono móvil titularidad del reclamado y que de la lectura del texto se desprende que fue utilizado para una finalidad distinta para la que fue dado por la reclamante, que no es otro que el estrictamente profesional entre cliente y reclamado. En cuanto a la caducidad y prescripción de los hechos hay que señalar que la l ey Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), en su artículo 64 regula la forma de iniciación del procedimiento y duración, en concreto en su apartado 2 establece lo siguiente: “Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación. (…) El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” Por otro lado, el artículo 72.1.
  15. a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  16. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V Así las cosas, se imputa al reclamado la comisión de una infracción por vulneración del artículo 5.1.
  17. b)del RGPD, indicado en el fundamento de derecho II. La infracción se tipifica en el artículo 83.5 del RGPD y es calificada de Grave en el artículo 72.1
  18. a)de la LOPDGDD. VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes:  En el presente caso estamos ante acción negligente no intencional, pero significativa (artículo 83.2
  19. b) Se encuentran afectados identificadores personales básicos (nombre, apellidos, domicilio, teléfono), según el artículo 83.2
  20. g)Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 5.1.
  21. b)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 2000 € (dos mil euros). SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  23. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.