PS-00389-2023

1/15  Expediente N.º: EXP202307554 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 2 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GESTIÓ INSCRIPCIONS I CONTROL CURSES, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202307554 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 21 de abril de 2023 tuvo entrada en el registro de la presente autoridad reclamación interpuesta por A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamante) y dirigida a la Autoritat Catalana de Protecciò de Dades frente a GESTIÓ INSCRIPCIONS I CONTROL CURSES, S.L. con NIF B25708629 (en adelante, la parte reclamada). Dicho organismo autonómico remitió la mencionada reclamación a la Subdirección General de Inspección de datos de la presente autoridad, dado que los hechos a los que se refería dicha reclamación no están comprendidos entre las competencias que corresponden al citado organismo, de acuerdo con la normativa vigente. Mediante su escrito la parte reclamante afirma que dentro del portal de internet ***URL.1, perteneciente a la parte reclamada, al introducir un DNI de una persona que ha sido participante de un curso anterior se muestra el resto de los datos personales sin restricción, tales como nombre y apellidos, dirección postal y electrónica, teléfono, año de nacimiento y centro de estudios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 A efectos acreditativos, la parte reclamante facilita el NIF de su hija y la dirección del portal afirmando que, al indicar dicho número en la inscripción de cualquier otro curso, el sistema muestra el resto de los datos personales que había introducido previamente para inscribirla a cursos escolares anteriores. Por parte de la presente autoridad se ha comprobado que, efectivamente, al indicar el NIF de la hija en la nueva inscripción de cualquier curso disponible, automáticamente el sistema muestra los siguientes datos personales asociados al mencionado número de identificación: nombre, primer apellido, segundo apellido, población, teléfono móvil, dirección e-mail, año de nacimiento, sexo y club o entidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia, en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó de forma electrónica conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado en fecha 05/06/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 06/06/2023 se recibe por esta autoridad escrito de respuesta del traslado por la entidad reclamada, del cual destacan las manifestaciones que seguidamente se exponen. Indica la parte reclamada que cuando un usuario desea inscribirse por primera vez en algún evento, debe de rellenar el formulario de inscripción correspondiente de cada evento. Una vez rellenados los datos obligatorios requeridos por el organizador, el usuario debe aceptar los términos legales, las condiciones de uso y política de privacidad, así como el reglamento de la carrera o evento. Asimismo, manifiesta que el responsable ofrece a la persona interesada la posibilidad de conservar los datos personales para futuras inscripciones y así poder recuperar dichos datos a partir de la entrada del número de documento de identidad del usuario. A tal respecto, señala que el responsable informa al interesado en el propio formulario de inscripción una autorización explícita e inequívoca sobre dicho tratamiento. A efectos acreditativos aporta una imagen donde se muestra el consentimiento del usuario para dicha finalidad. En dicha imagen, además de la casilla donde se confirma haber leído y aceptado los términos legales, las condiciones de uso y la política de privacidad, se muestra otra casilla donde figura expresamente el testo “Quiero poder recuperar mis datos personales en futuros formularios” figurando a continuación un link que señala “(según estas condiciones)” Tras acceder a las mencionadas condiciones mediante el link indicado, por la presente autoridad se ha comprobado que aparece el siguiente párrafo: “Autorizo a Gestió Inscripcions i Control Curses, S.L. que para facilitarme la cumplimentación de futuros formularios, se muestren mis datos personales facilitados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 en este formulario, a partir de la entrada de mi DNI en los nuevos formulario, de manera que no tenga que volver a rellenar todos mis datos cada vez. Si en cualquier momento deseáis revocar esta autorización podéis solicitarlo a ***EMAIL.1.” Por otro lado, la entidad reclamada manifiesta que se le ofrece la posibilidad al usuario de ejercer cualquier derecho de reclamación, pudiendo realizarlo a través de la dirección de correo electrónico que consta tanto en la identificación del responsable del tratamiento en las políticas de privacidad como en el consentimiento explícito y diferenciado de la conservación de datos para futuros formularios. Por último, la parte reclamada solicita a la presente autoridad el archivo de la reclamación presentada, dado que posee el consentimiento de la parte reclamada con el fin de conservar los datos para futuras inscripciones. Respecto a la duración de la conservación de los datos personales no se realiza manifestación alguna por la entidad reclamada. Esta autoridad ha comprobado que en la política de privacidad que se muestra en el formulario de inscripción, en el apartado relativo a conservación de los datos personales, se indica lo siguiente: “Conservaremos sus datos personales desde que nos dé su consentimiento hasta que lo revoque o bien solicite la limitación del tratamiento. En estos casos, mantendremos sus datos de manera bloqueada durante los plazos legalmente exigidos.” TERCERO: Con fecha 21 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad GESTIÓ INSCRIPCIONS I CONTROL CURSES, S.L. es una microempresa con un volumen de negocios de XXX.XXX euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida del artículo 5.1

1. e)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 El artículo 5.1 del RGPD, relativo a los principios generales del tratamiento establece que los datos personales serán: […]
2. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»); En el caso que nos ocupa, tal y como se muestra en los antecedentes del presente acuerdo, en la información de privacidad de la página web de la parte reclamada se encuentra una previsión relativa a la conservación de los datos personales según la cual: “Conservaremos sus datos personales desde que nos dé su consentimiento hasta que lo revoque o bien solicite la limitación del tratamiento. En estos casos, mantendremos sus datos de manera bloqueada durante los plazos legalmente exigidos.” De dicho enunciado se extrae que la conservación de los datos personales obtenidos por la parte reclamada se mantiene de forma ilimitada en el tiempo a partir del consentimiento de la persona interesada, salvo que dicha persona solicite su revocación o la limitación del tratamiento. Dicha previsión, a juicio de la presente autoridad, vulnera el principio de limitación de conservación de los datos, por cuanto dicha conservación no está vinculada a los fines del tratamiento de los datos obtenidos, sino que se conservan por defecto, salvo manifestación expresa de la persona titular de dichos datos. Conviene tener en cuenta que el principio de limitación de la conservación de los datos personales implica que los mismos solo pueden ser conservados únicamente durante el tiempo que resulten necesarios para la consecución de los fines en base a los que fueron recogidos o tratados de forma posterior. En este sentido se ha pronunciado la reciente sentencia de 20 de octubre de 2022 del Sala Primera del Tribunal de Justicia de la Unión Europea (Caso Digi Távközlési és Szolgáltató Kft. contra Nemzeti Adatvédelmi és Információszabadság Hatóság,) la cual ha precisado el alcance de este principio: “Así pues, como se desprende sin ambigüedad de los términos en que está redactado dicho precepto, el principio de «limitación del plazo de conservación » exige que el responsable del tratamiento sea capaz de demostrar, en virtud del principio de responsabilidad proactiva recordado en el apartado 24 de la presente sentencia, que los datos personales se conservan únicamente durante el tiempo necesario para la consecución de los fines para los cuales fueron recogidos o para los que han sido tratados ulteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 De ello se deduce que incluso un tratamiento de datos inicialmente lícito puede devenir, con el tiempo, incompatible con el Reglamento 2016/679 (LCEur 2016, 605) cuando los datos ya no sean necesarios para la consecución de tales fines [ sentencia de 24 de septiembre de 2019 (TJCE 2019, 201) , GC y otros (Retirada de enlaces a datos sensibles), C-136/17, EU:C:2019:773, apartado 74] y que los datos deben suprimirse cuando se cumplan dichos fines (véase, en este sentido, la sentencia de 7 de mayo de 2009, Rijkeboer, C-553/07 (TJCE 2009, 119) , EU:C:2009:293, apartado 33).” Como indica la mencionada sentencia corresponde al responsable del tratamiento, en virtud del principio de responsabilidad proactiva, demostrar que se cumple con el mencionado principio de limitación de la conservación de los datos. Es, por tanto, dicho responsable quien tiene que demostrar que los mencionados datos se conservan únicamente durante el tiempo necesario para la consecución de los fines para los que fueron recogidos. En el presente caso, y sin perjuicio de que lo resulte durante la instrucción del presente procedimiento, teniendo en cuenta la información que se muestra en la página web relativa a la conservación de los datos personales, se desprende un presunto incumplimiento del mencionado principio de limitación de conservación de datos personales al establecer, por defecto, un plazo ilimitado de conservación de los mismos, no estando vinculada dicha conservación a los fines para los que fueron recogidos o tratados de forma posterior. IV Tipificación y calificación de la presunta infracción del artículo 5.1
3. e)del RGPD De acuerdo con los indicios que se dispone en esta fase del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada podría haber incumplido el principio de limitación de conservación de los datos personales, en los términos establecidos por el artículo 5.1
4. e)del RGPD. De confirmarse el incumplimiento de dicho artículo, el mismo podría suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
5. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Por su parte, a efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
6. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Sanción por incumplimiento del artículo 5.1.
7. e)del RGPD La infracción indicada prevista en el artículo 5.1
8. e)puede ser sancionada con multa de 20. 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Según el artículo 83.2 del RGPD “al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
9. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
10. b)la intencionalidad o negligencia en la infracción;
11. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
12. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
13. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
14. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
15. g)las categorías de los datos de carácter personal afectados por la infracción;
16. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
17. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
18. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15
19. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. Teniendo en cuenta las condiciones generales para la imposición de multas administrativas establecidas por el ya mencionado artículo 83.2 del RGPD, y atendiendo a las circunstancias del presente supuesto, sin perjuicio de lo que resulte de la instrucción del presente procedimiento, se propone como posible sanción una multa de cuantía de 2.000 € (DOS MIL EUROS). VI Obligación incumplida del artículo 32 del RGPD El artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
20. a)la seudonimización y el cifrado de datos personales;
21. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
22. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
23. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este sentido, el considerando 83 del RGPD señala que “