1/9 938-0419 Procedimiento Nº: PS/00408/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de junio de 2018 tiene entrada en esta Agencia reclamación formulada por Don A.A.A. (en lo sucesivo, el reclamante), poniendo de manifiesto que la empresa CHAPAUTO SPORT, S.L., (en adelante, el reclamado), trata datos personales sin facilitar a los interesados la información prevista en la normativa de protección de datos. En particular, el reclamante indica que no ha sido informado por el reclamado sobre sus derechos de rectificación y cancelación de datos en relación con el tratamiento de sus datos personales. El reclamante aporta la siguiente documentación del reclamado, en la que no figura ningún tipo de información referida al tratamiento de los datos personales concernientes al reclamante que se recogen en ese tipo de documentos: -Copia de presupuesto de fecha 12/02/2018, en el que se identifica a “A.A.A.”, con teléfono móvil ***TELEFONO.1, como propietario de un vehículo de la marca “Mercedes”, modelo “Clas-C”, por el trabajo a realizar en “Capo Pelayo. Resto 550 €.” -Copia de presupuesto de fecha 06/03/2017, en el que se identifica a “A.A.A.” con teléfono móvil ***TELEFONO.1, como propietario de un vehículo “Mercedes, matrícula 1380 HJN”, por el trabajo a realizar “aleta trasera 80 €”. - Copia de Albarán de fecha 26/02/2018, emitido a nombre de “A.A.A.” en relación con un vehículo “Mercedes clase C”, con la descripción “Entero+Moldura 570 €”. El documento tiene impreso el sello del TALLER CHAPAUTO SPORT, S.L., que además, aparece firmado. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, se observa lo siguiente: El modelo de presupuesto aportado contiene los siguientes apartados relativos a información de carácter personal a facilitar por el cliente o interesado: Datos identificativos, DNI/NIF/NIE, domicilio y teléfono del mismo; Marca, modelo y matrícula del vehículo cuya reparación es objeto de presupuesto. También hay un espacio para la firma de conformidad del Cliente. El modelo de Albarán aportado contiene los siguientes apartados relativos a información de carácter personal a facilitar por el cliente o interesado: identificación del cliente, DNI/CIF, Domicilio y Población del mismo. También hay un espacio para la firma del “Conforme cliente” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Trasladada dicha reclamación al reclamado, con fecha 4 de septiembre de 2018, se recibe en esta Agencia la siguiente contestación del reclamado en relación con la solicitud de información practicada con fecha 23 de agosto de 2018 referida a los hechos comunicados: “Estamos en desacuerdo con los términos de la denuncia toda vez que en la documentación que se adjunta no figura que esta empresa tenga en su poder ningún dato del denunciante. No hay nombre, ni DNI ni domicilio, ni ningún otro dato que pudiera ser objeto de protección. Tan sólo un nombre de pila y un número de teléfono. El resto de la documentación se los ha facilitado a la Compañía de Seguros, pero no a esta empresa.” En dicha contestación, el reclamado no informa, conforme se le requería, sobre las causas que han motivado la incidencia que ha originado la reclamación ni sobre las medidas adoptadas para evitar que se produzcan incidencias similares. TERCERO: Constultada con fecha 16 de enero de 2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, se verifica que al reclamado no le constan registros previos. CUARTO: Con fecha 30 de enero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de Apercibimiento a la entidad CHAPAUTO SPORT, S.L., de conformidad con lo previsto en el artículo 58.2.
- b)del del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), por la infracción del artículo 13 del citado RGPD, tipificada en el artículo 83.5.
- b)del mismo. QUINTO: Notificado el citado acuerdo de inicio, con fecha 1 de marzo de 2019 se registra de entrada en esta Agencia escrito de alegaciones del reclamado aduciendo, en síntesis, lo que sigue: - Que han contratado una Consultoría especializada en materia de protección de datos a fin de implementar el proceso de adaptación a la normativa vigente en materia de protección de datos. - Reconocen que las deficiencias existentes deben ser subsanadas, como son las cláusulas informativas. - Indican que las causas que han motivado los hechos objeto de reclamación han sido “la falta de adaptación completa de nuestra entidad a la normativa vigente en materia de protección de datos. Pensando erróneamente que al recoger únicamente un nombre “de pila” y un teléfono no se encontraba sujeta a la normativa vigente en materia de protección de datos. Una vez consultada con la Consultora, entiende y acepta esta parte que no estaba completamente adaptada y de ello surge el actual procedimiento” - Como medidas correctoras, además de la contratación de la citada Consultoría, se ha incorporado la cláusula informativa en la documentación utilizada, siendo facilitada junto a la toma de datos. El reclamado aporta copia de la cláusula 3/9 informativa, figurando descrito su contenido en el Hecho Probado número Cuatro de esta resolución. SEXTO: A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Con fecha 28 de junio de 2018 tiene entrada en la AEPD reclamación formulada por el reclamante poniendo de manifiesto que la empresa CHAPAUTO SPORT, S.L. incumple el deber de información previsto en la normativa de protección de datos, a pesar de que recaba datos personales facilitados por los clientes o afectados titulares de esos datos. SEGUNDO: Los documentos aportados por el reclamante (presupuestos y albaranes) contienen apartados relativos a información de carácter personal a facilitar por el cliente o interesado, tales como, datos identificativos, DNI/NIF/NIE, domicilio, población, teléfono del mismo, marca, modelo y matrícula del vehículo propiedad del cliente o afectado. TERCERO: Con fecha 4 de septiembre de 2018 el reclamado presenta escrito en la AEPD en el que no acredita haber adoptado ningún tipo de medida tendente a dar cumplimiento al deber de informar a los interesados recogido en el artículo 13 del RGPD. CUARTO: Con fecha 1 de marzo de 2019 el reclamado presenta escrito en la AEPD al que adjunta copia de un documento denominado “Cláusula Informativa Presupuestos”, en el que se informa sobre los siguientes extremos: Identidad y datos de contacto del responsable del tratamiento (el reclamado), finalidad del tratamiento (gestión del presupuesto de los trabajos encomendados al responsable), base legitimadora del tratamiento (relación contractual), plazo de conservación de los datos, posibilidad de ejercer los derechos de acceso, rectificación, limitación de tratamiento, supresión (derecho al olvido), portabilidad y oposición, revocación del consentimiento prestado para el tratamiento de los datos, y presentación de reclamación ante la Autoridad de Control. En el campo de cesiones informa sobre las categorías de destinatarios a los que se comunican los datos con la finalidad de prestar el servicio y su base legitimadora, advirtiendo que el hecho de no facilitar los daos a dichas entidades implica que no se podrá cumplir con la prestación de los servicios. FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2 y 58.2 del del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, reconocen a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. El artículo 63.2 de la LOPDGDD establece que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores”, dispone que: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda.” En el presente caso, el contenido de las alegaciones formuladas por el reclamado evidencia el reconocimiento de su responsabilidad en relación con los hechos objeto del presente procedimiento, procediendo, por tanto, la resolución del procedimiento con la imposición de la sanción que proceda. III El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por lo tanto, de conformidad con dichas definiciones, la recogida por parte del reclamado de datos identificativos, números de teléfono y matrículas de vehículos de sus clientes en el marco de la relación contractual existente entre las partes, constituye un tratamiento de datos personales, respecto del cual el reclamado, en su condición de responsable del tratamiento, ha de dar cumplimiento a lo previsto en el artículo 13 del RGPD 5/9 IV El artículo 12 del RGPD, referido a la “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, en su apartado 1 se establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.” En el presente supuesto se imputa al reclamado la vulneración del deber de informar previsto en el artículo 13 del RGPD, precepto que en cuanto a la ”Información que deberá facilitarse cuando los datos personales se obtengan del interesado.”, determina que: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Por su parte, respecto de los derechos de “Transparencia e información al afectado”, el artículo 11.1 y 2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), establece que: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
- a)La identidad del responsable del tratamiento y de su representante, en su caso.
- b)La finalidad del tratamiento.
- c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679. V 7/9 En presente procedimiento ha quedado acreditado que con posterioridad al 25 de mayo de 2018, fecha a partir de la cual resultaba de plena aplicación el citado RGPD, el reclamado recogía en diversos documentos datos personales procedentes de sus clientes (datos identificativos, teléfono del propietario del vehículo o cliente y matrícula del vehículo a reparar), sin ofrecerles la información requerida en materia de protección de datos prevista en el artículo 13 del reseñado RGPD. Asimismo, consta en el procedimiento que el reclamado, a fin de regularizar la situación descrita, ha adoptado medidas tendentes a ofrecer a los interesados que le facilitan sus datos personales la información en materia de protección de datos que, conforme a lo previsto en el reseñado artículo 13 del RGPD, debe ofrecer, en el momento de la recogida, a los afectados cuyos datos personales recaba. A fin de justificar dicha circunstancia, el reclamado a adjuntado a su escrito de alegaciones copia del documento elaborado para dar cumplimiento al deber de informar en los supuestos en que los datos personales son obtenidos del afectado. Analizada la información ofrecida en dicho documento, denominado “Cláusula Informativa Presupuestos”, se observa que el responsable del tratamiento facilita la información exigida en el artículo 13 del RGPD, tal y como se desprende del Hecho Probado número Cuatro. En este caso, la cláusula informativa aportada por el reclamado está fechada y firmada por una persona que aparece identificada al pie del mismo con su nombre, apellidos y DNI . De lo razonado se desprende que el reclamado ha rectificado su conducta implementando un mecanismo a través del cual dar respuesta al deber de informar que le incumbe en supuestos como el estudiado. Lo que no obsta para que sea responsable de haber incumplido dicha obligación de informar, en concreto entre el 25 de mayo de 2018 y el momento en que pasó a informar a los interesados a los que recogía sus datos personales de las exigencias contempladas en el citado artículo 13 del RGPD, lo que sin duda ocurrió con posterioridad al 4 de septiembre de 2018, fecha en la que al contestar el requerimiento de información efectuado por esta Agencia a raíz del traslado de la reclamación no justificó la adopción de medidas tendentes a regularizar la situación. V Los apartados b),
- d)e
- i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 2 y 5.
- b)señala que: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado2, letras
- a)a
- h)y j). (…) 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
- b)Los derechos de los interesados a tenor de los artículos 12 a 22;”. Por su parte, el artículo 71 de la LOPDGDD establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica.”, estableciéndose en el artículo 72.1.
- h)de dicha Ley que: “1. En función de lo que establece el artículo 83 del Reglamento (UE) 2016/679 se consideraran muy grabes y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular las siguientes: (…)
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.” De lo razonado, se evidencia que el reclamado ha incumplido el deber de informar a los afectados acerca de los aspectos reseñados en el artículo13 del RGPD en relación con datos personales que recababa de los mismos para cumplimentar diferentes documentos, lo que constituye infracción a lo previsto en el artículo13 del RGPD en su relación con lo previsto en los apartados 1 y 2 del artículo 11 de la LOPDGDD, tipificada en el artículo 83.5.
- b)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- h)de la LOPDGDD. En el presente caso, se estima adecuado imponer la sanción de apercibimiento prevista en el artículo 58.2.
- b)del RGPD a la vista de las siguientes circunstancias: se trata de una empresa cuya actividad principal no se encuentra vinculada con el tratamiento habitual de datos de carácter personal y considerar que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
- b)del RGPD constituiría una carga desproporcionada para dicha sociedad, que ha acreditado haber regularizado la falta de información descrita tras recibir el acuerdo de inicio del procedimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, 9/9 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CHAPAUTO SPORT, S.L., con NIF B87854030, de conformidad con lo previsto en el artículo 58.2.
- b)del RGPD, una sanción de APERCIBIMIENTO como responsable de la comisión de una infracción a lo previsto en el artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a CHAPAUTO SPORT, S.L. con NIF B87854030. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es