1/4 Procedimiento Nº: PS/00405/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante THE OLIVER GROUP TORREVIEJA, S.L. (a la atención de D. A.A.A. y Dña. B.B.B.), en virtud de reclamación presentada por D. C.C.C. y en base a los siguientes: ANTECEDENTES PRIMERO: D. C.C.C. (en adelante el reclamante) con fecha 7 de agosto de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra OLIVER GROUP TORREVIEJA, S.L. (a la atención de D. A.A.A. y Dña B.B.B.) (en adelante el reclamado). Los motivos en que basa su reclamación son que el reclamado ha remitido sus datos personales (información personal y documentos judiciales) a distintas personas con las que el reclamado no guardan relación, pero si el reclamante, sin su permiso ni su consentimiento, dándoles a conocer a los destinatarios sus datos personales que o bien no son ciertos o bien se aportan sin dar la información veraz. Además, dan publicidad de las direcciones de los correos electrónicos de todos los destinatarios, sin estar autorizados. Junto a su escrito de denuncia se aporta copia de un correo electrónico de fecha 5 de agosto de 2018, dirigido a 24 destinatarios con todas las direcciones visibles. SEGUNDO: A la vista de los hechos denunciados en la reclamación, y de los documentos aportados por el reclamante, así como los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, de conformidad con lo establecido en el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), requiriendo al reclamado la siguiente Información: Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esta decisión. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. Cualquier otra que considere conveniente. Dicha entidad no ha respondido a dicho requerimiento de información de la Agencia Española de Protección de Datos. El reclamado recibe, el 15 de octubre de 2018, carta de esta Agencia a través del cual se le da traslado de la reclamación presentada por el reclamante contra dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 entidad para que procediese a su análisis, diera respuesta al reclamante y en el plazo de un mes informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Pese a ello, no consta en esta Agencia contestación por parte del reclamado, al citado requerimiento, por lo que procede admitir a trámite la presente reclamación, sin perjuicio de lo que se determine en el curso de la tramitación. TERCERO: Con fecha 23 de enero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la infracción del artículo 5.1.
- f)del RGPD, en relación con el artículo 5 de la LOPDGDD; tipificada en el art. 83.5 apartado
- a)del RGPD y calificada de muy grave en el art. 72.1.
- i)de la LOPDGDD, siendo notificado por el servicio de correos el 31 de enero de 2019. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: El reclamado ha remitido, el 5 de agosto de 2018, un correo electrónico dirigido a 24 destinatarios con todas las direcciones visibles. . SEGUNDO: THE OLIVER GROUP TORREVIEJA, S.L. (a la atención de D. A.A.A. y Dña. B.B.B.) no ha respondido al requerimiento de información de la Agencia Española de Protección de Datos, ni ha presentado alegaciones al acuerdo de inicio del presente procedimiento, pese al traslado reiterado del requerimiento realizado por esta Agencia. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 5 apartado 1º letra
- f)RGPD “Principios relativos al tratamiento” dispone que los datos personales serán:
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (<<integridad y confidencialidad>>). El artículo 5 de la LOPDGDD “Deber de confidencialidad” dispone que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
- f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento. El artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9 “ es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. III En virtud de lo establecido en el artículo 58.2 RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos, entre los que se encuentra la potestad para imponer multas, en el caso de que concurra una infracción de los preceptos del RGPD. El artículo 58 apartado 2º RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; En el presente caso, se tiene en cuenta que el correo se ha enviado por una persona física, actuando como administrador una pequeña sociedad, así como su remisión a personas relacionadas con el asunto sobre el que se informa. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada. Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 1.- PROCEDER a APERCIBIR a THE OLIVER GROUP TORREVIEJA, S.L. (a la atención de D. A.A.A. y Dña. B.B.B.), por la infracción del artículo 5.1.
- f)del RGPD, en relación con el artículo 5 de la LOPDGDD, tipificada en el art. 83.5 apartado
- a)del RGPD ordenando que proceda en virtud de lo establecido en el artículo 58.2 letra
- d)RGPD: - La adopción de todas las medidas razonables que garanticen: que cuando envíe correos a diferentes destinatarios se utilice la opción de envío con copia oculta para evitar ceder información con datos personales a todos los destinatarios. 2.- NOTIFICAR el presente Acuerdo a THE OLIVER GROUP TORREVIEJA, S.L. (a la atención de D. A.A.A. y Dña. B.B.B.) y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es