PS-00416-2023

1/59  - Expediente N.º: EXP202301080 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BEEDIGITAL AI, S.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 13 de enero de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202301080 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes: ANTECEDENTES PRIMERO: Consta registrada en esta Agencia Española de Protección de Datos la notificación por BEEDIGITAL AI, S.A., con NIF A84619485, en fecha 09/09/2022, (…), entre otros extremos, lo siguiente: (…). En fecha 07/10/2022 se recibe de BEEDIGITAL una (…) de seguridad que completa la información inicial indicando, entre otras cuestiones: << (…). (…). Tras un análisis interno se constata la existencia de (…) y que la probabilidad de que las consecuencias se materialicen (…). Se están implementando las medidas recomendadas (…)”.   C/ Jorge Juan, 6 28001 – Madrid Se afirma que (…). Se afirma que (…). www.aepd.es sedeagpd.gob.es 2/59  (…).>> SEGUNDO: A.A.A. (en adelante, la parte reclamante) en fecha 30/11/2022 interpone una reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BEEDIGITAL AI, S.A., con NIF A84619485 (BEEDIGITAL o la parte reclamada). Basa su reclamación en los siguientes motivos: Sus datos personales -nombre, apellidos, NIF, teléfono y correo electrónico- (…) por BEEDIGITAL, entidad que declara haberlos obtenido de la Lista Robinson. La parte reclamante niega haber sido cliente de BEEDIGITAL y califica de “desconcertante” que cualquier empresa pueda “almacenar” sus datos “como consecuencia” de que ella se hubiera dado de alta en el referido fichero de exclusión publicitaria. El escrito de reclamación presentado dice así: <<Hace unos días recibí un email de Bee Digital en el que (…). Yo no he sido jamás cliente suyo y les pregunté que de donde tenían esos datos sobre mi (en el correo se dirigían a mí con mi nombre y apellidos), a lo que me contestaron, en varios emails, que los tenían de la lista Robinson, para no mandarme nunca comunicaciones comerciales. Me resulta bastante desconcertante que yo me apunté a una lista Robinson y que como consecuencia de eso (…) a cualquiera. […] Entiendo que puedan ver el email o el teléfono para no añadirlo a su lista de contactos publicitarios, pero ¿mi nombre y dos apellidos y mi DNI? […].>> Aporta con su reclamación: 1.- El correo electrónico que recibió de BEEDIGITAL el 23/11/2022 desde la dirección clientes@com.beedigital.es a través del cual le comunicó (…) que afectó a sus datos personales: <<Asunto: BeeDIGITAL Info: Notificación protección de datos […] Para BeeDIGITAL, la protección de datos es una de las áreas a la que aplica un compromiso prioritario, […]. Precisamente para cumplir con este fin es por lo que sus datos obran en nuestro poder. Accedemos a la Lista Robinson para asegurar que cumplimos con sus requerimientos en materia relacionada con comunicaciones electrónicas. Desafortunadamente, (…) de BeeDIGITAL. Nada más tener constancia (…), BeeDIGITAL activó (…). No se han visto (…). 1. RECOMENDACIONES […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/59 No obstante, (…), hacemos las siguientes recomendaciones: […] 2. ¿QUÉ ESTÁ HACIENDO BeeDIGITAL? Una vez constatada la (…), se ha notificado (…). Al tratarse de un delito, también se ha interpuesto denuncia ante las fuerzas y cuerpos de seguridad del estado. […] BeeDIGITAL, (…), con el objetivo de evitar que se vuelva a producir. […]>> 2.- Un hilo de siete correos electrónicos relativos al “Asunto: Notificación protección de datos” intercambiados con BEEDIGITAL. Se transcriben a continuación ordenados por antigüedad: 2.1.- De BEEDIGITAL, enviado desde protecciondatos@beedigital.es a la parte reclamante de fecha 24/11/2022 a las 15:24 horas. << […] En respuesta a su escrito sobre el asunto de referencia, remarcar, que los datos sobre usted que obran en nuestro poder y que le hemos comunicado a través de la notificación de protección de datos, son tratados por BeeDIGITAL con el único objeto de asegurar el cumplimiento de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales que establece obligaciones para toda entidad que realice tratamientos de datos de carácter personal. Asimismo, en lo que se refiere a las comunicaciones comerciales realizadas a través de llamadas telefónicas, correo electrónico, SMS o equivalentes, es necesario tener en cuenta lo dispuesto en la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones y la Ley 34/2002 de 11 de julio, de Servicios de la Sociedad de la Información y deComercio Electrónico. BeeDIGITAL en cumplimiento de la citada legislación realiza tratamientos para verificar que cualquier comunicación no incluye datos de las personas que se han dado de alta en la Lista Robinson y es la única finalidad con la que son tratados sus datos, es decir para evitar que se le incluya en un envío de comunicación comercial no deseada. En base a lo expuesto queremos indicarle que para el tratamiento de sus datos no es necesario el consentimiento al tratarse de una obligación que debe cumplir BeeDIGITAL según legislación expuesta. […]>> (El subrayado es nuestro) 2.2.- De la parte reclamante a BEE DIGITAL, enviado el 24/11/2022 a las 16:38 horas con el siguiente texto: <<No me han contestado a lo que preguntado, que es que [sic] datos tienen y porque [sic], puesto que nunca he sido cliente de sus servicios. […]>> 2.3.- De BEEDIGITAL a la parte reclamante, enviado el 25/11/2022 a las 8:48 horas con este texto: << […] Tal y como se indica en la comunicación remitida los datos que tenemos sobre usted son: nombre, apellidos, NIF, teléfono y correo electrónico. Estos datos se han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/59 obtenido de la Lista Robinson para cumplir con la obligación legal de no enviarle comunicaciones comerciales. […]>> 2.4.- Enviado por la parte reclamante a BEEDIGITAL el 25/11/2022 a las 15:48 horas: << […] Tal y como indiqué en mi anterior email, ¿me pueden decir por favor porque [sic] tienen mis datos si no tengo cuenta con ustedes (he intentado pedir la recuperación de la contraseña, por si acaso y no me llega el email)? […]>> 2.5.- Mensaje de fecha 28/11/2022 a las 10:08 horas enviado por BEEDIGITAL a la parte reclamante: << […] Cuando usted se da de alta en la Lista Robinson, lo hace porque no quiere recibir comunicaciones comerciales. Todas las empresas tienen la obligación de acceder a esta Lista para evitar el envío de dichas comunicaciones comerciales a todas las personas dadas de alta. Precisamente, para ejecutar este proceso por parte de BeeDIGITAL, es por lo que tratamos sus datos. Llevar a cabo este tratamiento es un requisito legal que deben cumplir todas las empresas (tratamiento de la Lista Robinson) y por supuesto, no es necesario que usted tenga creada una cuenta. […]>> 2.6.- Mensaje de 28/11/2022, a las 10:13 horas, que la parte reclamante dirige a BEE DIGITAL: << […] No tengo una cuenta, me ha quedado claro, gracias. ¿(…)? Esto en verdad es lo que me preocupa.>>. 2.7.- En el hilo de correos aportado figura uno interno que BEEDIGITAL envía desde su cuenta protecciondatos@beedigital.es a su DPD el 29/11/2022, a (…) a fin de que él gestione las consultas formuladas por la parte reclamante. 2.8.- Mensaje enviado el 29/11/2022, a las 13:08 horas, por el DPD de BEEDIGITAL dirigido a la reclamante: << […] Veo las interlocuciones que ha mantenido con nuestro departamento de Gestión Jurídica, quedando pendiente informarle sobre la cuestión que plantea sobre el uso de los datos personales utilizados para evitar el envío de comunicaciones comerciales. En este sentido quiero informarle de que las consultas que realizamos tienen un plazo de validez de un mes y son incluidas en nuestros procesos para la finalidad comentada. […]>>(El subrayado es nuestro) TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Asimismo, con idéntica finalidad, se dio traslado de la reclamación a la Asociación Española de Economía Digital (ADIGITAL), con NIF G61668505. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/59 El traslado a la parte reclamada y a ADIGITAL, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue aceptado por ambas entidades en fecha 01/02/2023, según consta en los acuses de recibo que obran en el expediente. A.- Respuesta de BEEDIGITAL al traslado de la Subdirección General de Inspección de Datos (SGID) recibida en esta Agencia el 13/02/2023. Afirma que:  Los datos personales de la parte reclamante los obtuvo a través de un email remitido en fecha 21/05/2018 por “(lareclamante@xxxxx.com)info@listarobinson.es” en el que solicitaba “no recibir llamadas de carácter publicitario de su entidad” y en el que constaban sus datos personales: nombre, apellidos, NIF, dirección electrónica y teléfonos.  Que los datos de la parte reclamante “fueron recogidos y han sido tratados en todo momento con la única finalidad solicitada: no enviar comunicaciones de carácter publicitario al solicitante. Los datos se mantienen en la entidad con esta única finalidad y a petición expresa de la reclamante.”  A raíz de la (…) “a los interesados entre los que se encuentra la reclamante”, ésta, mediante correo electrónico de fecha 24/11/2022, solicita información sobre sus datos personales objeto de tratamiento y de la causa por la cual obraban en su poder, toda vez que niega haber sido cliente suyo. BEEDIGITAL afirma que respondió a la parte reclamante informando “del origen de los datos, y de la licitud del tratamiento: Servicio Lista Robinson y atención a su deseo de no ser contactada con fines comerciales, respectivamente.”  Que, entre las acciones encaminadas a evitar que se produzcan incidencias similares a las acontecidas (…) y “en relación con el tratamiento de datos que se reciben a través del Servicio Lista Robinson”, “(…) para aumentar el nivel de seguridad de estos. (…).” (El subrayado es nuestro) Documentos aportados por BEEDIGITAL anexos a su respuesta al traslado: Anexo 1: Incluye dos documentos: (

1. i)El correo que BEEDIGITAL dirigió a la parte reclamante comunicándole que el (…) sus datos personales. Este documento ha sido aportado por la parte reclamante y reproducido en el Antecedente Segundo de esta propuesta de resolución como anexo 1 de los aportados por esa parte. (
2. ii)Un correo electrónico enviado por la parte reclamante el 24/11/2022 a las 9:03 a clientes@beedigital.es recabando información sobre el porqué del tratamiento de sus datos personales: <<Asunto: […] Notificación protección de datos. [...] Recibí ayer este correo y por mi parte desconozco por qué tienen mis datos. Puede ser que no recuerde haberme hecho cuenta para algo, pero desde luego que nunca he contratado sus servicios de pago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/59 Ayer intenté acceder a "mi cuenta" para ver si había algo en ella que me diera una pista pero no tengo la contraseña guardada y tampoco me llego el email de recuperación, ni a la bandeja de entrada ni a spam. Es por ello que quisiera que me dijeran qué datos tienen recopilados sobre mi y por qué.>> (El subrayado es nuestro) Anexo 2: Un hilo de seis correos electrónicos mantenidos con la parte reclamante que versan todos ellos sobre el “Asunto: Notificación protección de datos”. Son los siguientes, ordenados por antigüedad: 1.-De fecha 25/11/2022, a las 08:48, enviado por BEEDIGITAL (protecciondatos@beedigital.
3. es)a la parte reclamante. Este mensaje, que fue aportado también por la parte reclamante, se transcribe en el Antecedente Segundo, punto 2.3. 2.-De fecha 25/11/2022, que la parte reclamante dirige a BEEDIGITAL a las 15:48 horas. Se transcribe en el Antecedente Segundo punto 2.4. entre los aportados por la parte reclamante. 3.-De fecha 28/11/2022, a las 10:08 horas, enviado por BEEDIGITAL. Se transcribe en el Antecedente Segundo, punto 2.5. 4.-De fecha, 28/11/2022, a las 10.13 horas, enviado por la parte reclamante a BEEDIGITAL. Se transcribe en el Antecedente Segundo, punto 2.6. 5.-Un mensaje interno que la parte reclamada envía desde la cuenta protecciondatos@beedigital.es al DPD de la entidad el 29/11/2022, (…) ,para que gestione las consultas que la parte reclamante está formulando. Es el mismo al que se refiere el Antecedente Segundo, punto 2.7. 6.-Enviado por el DPD de BEEDIGITAL a la parte reclamante el 29/11/2022, a las 13:08 horas. El mensaje es el mismo que se transcribe en el Antecedente Segundo, punto 2.8. B.-Respuesta de ADIGITAL al traslado de la SGID, recibida en esta Agencia el 13/02/2023. Hace estas manifestaciones:  Que BEEDIGITAL le informó el 30/11/2022 “(…) de BeeDIGITAL donde se encontraban, entre otros, datos de algunas personas que le habían sido comunicados, por parte de Adigital, desde el servicio de Lista Robinson”.  Que han comprobado que “la persona interesada es la titular de la dirección de correo (…).”, “[…] que, de acuerdo con los registros obrantes en el Servicio de Lista Robinson, la interesada es Doña [la parte reclamante], con DNI número [el de la parte reclamante], la cual contactó con Adigital (…) el 1 de diciembre de 2022 a través del teléfono y del correo electrónico del Servicio.”  Que el Servicio de Lista Robinson fue creado en el año 1992 como un servicio de exclusión publicitaria. Que desde el año 2009, atendiendo a la solicitud C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/59 realizada por la Agencia Española de Protección de Datos, incorporó una opción por la cual los interesados, además de inscribirse en servicio, pueden opcionalmente enviar a las entidades adheridas al servicio una solicitud de revocación del consentimiento para recibir llamadas comerciales. Esta solicitud de revocación se transmite de forma directa por email a la entidad inscrita que el interesado seleccione individualmente a través de un menú desplegable donde figura el listado de las entidades adheridas al servicio.  Que BeeDIGITAL es una entidad adherida al servicio de Lista Robinson y figura como tal en el listado de entidades adheridas. Y que, conforme a los registros del “Servicio de Lista Robinson” “la reclamante dirigió, el 25 de mayo de 2018, una solicitud de revocación del consentimiento a la entidad BeeDIGITAL, la cual seleccionó ella misma de entre el listado de entidades adheridas.” Que “la solicitud de revocación de consentimiento enviada por la reclamante se hizo llegar a BeeDIGITAL mediante correo electrónico el cual, con la finalidad de poder identificar a la solicitante en su base de datos y atender su petición, contenía la siguiente información: a. Nombre y apellidos. b. Número de DNI. c. Correo electrónico a efectos de notificaciones. d. Números de teléfono inscritos en el Servicio de Lista Robinson para los cuales la interesada solicitaba la retirada de su consentimiento para recibir llamadas comerciales.” (El subrayado es nuestro) CUARTO: Admisión a trámite de la reclamación En fecha 17/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Actuaciones Previas de Investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control y de los poderes otorgados en los artículos 57.1 y 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. A través del Informe de Actuaciones Previas de investigación, firmado por el inspector actuante el 13/07/2023, que se reproduce a continuación, se tiene conocimiento de los siguientes extremos: <<INFORME DE ACTUACIONES PREVIAS DE INVESTIGACIÓN ANTECEDENTES […] Hechos según manifestaciones de la parte reclamante: - (…) En relación con esta reclamación, […] (…) realizadas por el responsable de tratamiento BEEDIGITAL […] se solicita su vinculación al expediente. Se destaca el siguiente contenido de ambas notificaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/59 - En fecha 9 de septiembre de 2022 y con registro de entrada REGAGE(…) se recibe notificación inicial (…) con la siguiente descripción: “Desde el pasado día (…) se inició la fase de […]. - En fecha 7 de octubre de 2022 y con registro de entrada REGAGE(…), se recibe segunda notificación que completa la información inicial, con los siguientes datos: Descripción: “(…)”. ENTIDADES INVESTIGADAS […] ADIGITAL (Asociación Española de la Economía Digital) con NIF G61668505 […] BEEDIGITAL AI SAU con NIF A84619485, […]. Con anterior denominación PÁGINAS AMARILLAS SOLUCIONES DIGITALES (desde octubre de 2017 hasta junio de 2022). RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En fecha 01 de febrero de 2023 se da traslado de la reclamación a ambas entidades […] BEEDIGITAL) y ADIGITAL, solicitándose la siguiente información: - Informes técnicos o recomendaciones elaboradas por el DPD. - Informe sobre las causas que han motivado la reclamación. - Informe sobre las medidas adoptadas para evitar incidencias similares. En fecha 13 de febrero de 2023 y con número de entrada REGAGE(…) se recibe respuesta por parte de BEEDIGITAL al traslado anterior, del análisis de la documentación aportada se obtiene: - Afirman que han obtenido los datos personales de la parte reclamante a raíz de un email remitido por esta misma persona a través del servicio Lista Robinson (ADIGITAL) en fecha 21 de mayo de 2018 y con la finalidad de “no recibir llamadas publicitarias de la entidad”, en dicho email se adjuntaban los siguientes datos de la parte reclamante: nombre, apellidos, DNI, email, teléfonos. - Afirman que los datos contenidos en el email anterior fueron recogidos y han sido tratados con la finalidad de no enviar comunicaciones de carácter publicitario al solicitante. Afirman que BEEDIGITAL (…) y que posteriormente se (…), entre los que se encontraba la parte reclamante. Que, a raíz de esta comunicación, la parte reclamante contactó vía email el pasado 24 de noviembre de 2022 solicitando información sobre qué datos disponía BEEDIGITAL sobre ella y por qué los tenía, ya que nunca había contratado los servicios de esta compañía ni se había creado una cuenta. BEEDIGITAL respondió a la reclamante informando del origen de los datos y de la licitud del tratamiento, aportan captura de pantalla que lo acredita. - C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/59 - Afirman que, entre las medidas adoptadas para evitar incidencias similares a la (…). En fecha 16 de febrero de 2023 y registro de entrada REGAGE23e00009968357 se recibe respuesta al traslado por parte de ADIGITAL, de su análisis se extrae: - Afirman que la reclamante contactó con ADIGITAL el 1 de diciembre de 2022 con motivo del correo que había recibido de BEEDIGITAL en el que se le (…). - Afirman que el servicio Lista Robinson, atendiendo a la solicitud realizada por esta Agencia Española de Protección de Datos, incorporó una opción por la cual los interesados, además de inscribirse en el servicio, podían opcionalmente enviar a las entidades adheridas una solicitud de revocación del consentimiento para recibir llamadas comerciales, esta solicitud de revocación se transmite de forma directa por email a la entidad que el interesado seleccione a través de un menú desplegable donde figura el listado de las entidades adheridas al Servicio. - Afirman que BEEDIGITAL es una entidad adherida al servicio de Lista Robinson y que la reclamante dirigió, el 25 de mayo de 2018, una solicitud de revocación del consentimiento a esta entidad seleccionándola previamente entre el listado de entidades adheridas. - Afirman que ADIGITAL hizo llegar esta solicitud de revocación de consentimiento a BEEDIGITAL mediante correo electrónico y con la finalidad de poder identificar a la solicitante en su base de datos y atender su petición, conteniendo este correo los siguientes datos personales de la reclamante:  Nombre y apellidos.  Número de DNI.  Correo electrónico a efectos de notificaciones.  Números de teléfono inscritos en el servicio de Lista Robinson para los cuales la interesada solicitaba la retirada de su consentimiento para recibir llamadas comerciales. Teniendo en cuenta la información obtenida de las respuestas a los traslados (…), en fecha 21 de abril de 2023 se decide realizar un primer requerimiento de información al responsable de tratamiento BEEDIGITAL, requerimiento marcado por la siguiente línea de investigación: - Que se acredite el correo recibido por parte del servicio Lista Robinson (ADIGITAL) conteniendo los datos de la reclamante. Que confirmen si realizaban tratamientos de datos personales de la reclamante en fecha anterior a la recepción del correo electrónico. Que confirme la base legítima utilizada para llevar a cabo el tratamiento de los datos personales de la reclamante y que aporte la copia del Registro de Actividades de Tratamiento. Que aporte copia de la denuncia interpuesta ante cuerpos de seguridad. Que aporte copia de los análisis de riesgos para la protección de los derechos y libertades en los tratamientos afectados por la brecha de seguridad, así como las medidas concluidas a raíz de este y las medidas implantadas tras la brecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/59 - Que aporte copia del registro de incidentes y los procedimientos implantados para la gestión de brechas de seguridad. En fecha 16 de mayo de 2023 […] se recibe respuesta al requerimiento anterior por parte de BEEDIGITAL, de su análisis se extrae: - - - - Aportan un certificado emitido por ADIGITAL con la siguiente información: “Que, según los datos obrantes en nuestros registros, el 25 de mayo de 2018, la entidad BEEDIGITAL AI SAU, con NIF número A84619485, recibió una solicitud de revocación del consentimiento para llamadas comerciales remitida a través del Servicio de Lista Robinson por la usuaria del servicio Doña [la parte reclamante] con NIF número [el de la parte reclamante]. Que el contenido de la notificación incluía los siguientes datos identificativos de la interesada necesarios para satisfacer la solicitud de revocación del consentimiento: Nombre y apellidos, DNI, correo electrónico y números de teléfono inscritos en el Servicio de Lista Robinson para los cuales la interesada solicitaba la retirada de su consentimiento para recibir llamadas comerciales”. Desde BEEDIGITAL confirman que no trataban datos personales de la parte reclamante con anterioridad a la recepción del correo anterior. En respuesta a nuestra solicitud para que aporten la base jurídica del tratamiento BEEDIGITAL afirma: “El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable de tratamiento (Art 6.1.c), ya que se tratan los datos para evitar el envío de comunicaciones comerciales dada la voluntad expresa de la interesada”. Aportan copia de la denuncia interpuesta ante Policía Nacional, de su análisis se extraen las siguientes afirmaciones realizadas por BEEDIGITAL:  Que el 26 de agosto de 2022 la empresa (…).  Que, a falta de más comprobaciones, el alcance estaría cerca de (…), los cuales aún están por determinar. Aportan documentación acreditativa de las siguientes políticas implantadas en la organización como medidas organizativas (…) […]:  Política interna de protección de datos (documento con fecha de actualización de fecha de creación abril de 2018 y última actualización en febrero de 2023).  (…) - Aportan documentación acreditativa sobre las siguientes actividades formativas realizadas en la organización en momentos previos a la brecha de seguridad:  Píldora formativa realizada en el año 2022, con una breve duración de unos 15 minutos, sobre protección de datos personales y destinada a trabajadores de la organización.  Formación sobre RGPD a empleados de la organización en el año 2021, no obstante, no se acredita ni el contenido ni la duración de esta formación. - Aportan copia del informe de una auditoría de cumplimiento de protección de datos realizada por la empresa ***EMPRESA.1 (…), del análisis de este documento se obtienen las siguientes afirmaciones realizadas por la empresa auditora: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/59  “Se concluye que el nivel general de cumplimiento de BEEDIGITAL con respecto a las obligaciones auditadas es ALTO y las principales acciones correctoras requeridas son:  “(…).” - Se aporta documento que acredita la existencia de contrato con la empresa FACTUM para la prestación de servicios de consultoría (…) este contrato se firma el 8 de marzo de 2023 e incluye como anexo el contrato de encargo de tratamiento, recogiendo entre su clausulado: el objeto y finalidad, duración, obligaciones del encargado y del responsable. - Se aporta documento que acredita la existencia de una orden de compra realizada por BEEDIGITAL al proveedor (…), del análisis de esta oferta de servicio se extraen las siguientes afirmaciones relevantes:  “BEEDIGITAL como ente privado en este caso solicita (…)”.  “(…)”. - Se aporta el Registro de Actividades de Tratamiento (RAT) de BEEDIGITAL, conteniendo información detallada para cada una de las siguientes actividades de tratamiento llevadas a cabo por la organización: Acceso oficinas, Servicio Atención a Clientes, Clientes, Consejo de Administración, Cumplimiento Código Ético, Gobierno corporativo, RRHH, Empleados de Terceros, Expedientes Jurídicos, Guías Electrónicas, Personas de Contacto, Potenciales Clientes, Atención Ejercicio de Derechos, Proveedores, Selección Personal, Usuarios Web. De entre todas las actividades de tratamiento anteriores destaca la actividad “Atención al Ejercicio de Derechos” por estar posiblemente relacionada con los tratamientos de los datos personales de la reclamante por parte de BEEDIGITAL, se solicitará aclaración sobre esto en un nuevo requerimiento de información dirigido a este responsable. - A nuestra solicitud para que aporten los análisis de riesgos para los derechos y libertades de las personas físicas en los tratamientos (…):  (…).  Un documento específico adicional para cada una de las actividades de tratamiento registradas en el RAT, (…). - Se aporta documento que acredita la existencia de (…), con fecha de creación (…):  “(…). Posteriormente se detectan (…), que más adelante se materializan (…)”.  “El incidente es detectado el día (…)”.  “Se concreta que (…).”  “El día (…)”. - Se aporta documento con el informe sobre la (…) realizado por el (…), del análisis de este informe se obtienen las siguientes afirmaciones:  La cronología constatada (…) es la siguiente:  (…).  (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/59    - (…). (…). (…).  Tras detectar (…), se toman las siguientes (…): (…)   (…) Durante el desarrollo del (…) BEEDIGITAL. En fecha (…) se incorporó al equipo de trabajo la (…). Tras conversación previa el día laboral anterior se le hizo entrega de toda la información técnica disponible del desarrollo (…). A nuestra solicitud para que acrediten documentalmente las medidas preventivas implantadas en momentos (…), se aporta documento con un listado de (…) desde el año 2019 a la actualidad, del análisis de este documento destacan los siguientes proyectos y (…) en la organización:  En los años 2019 y 2020:  (…).  En el año 2021:  (…).  En el año 2022:  (…).  En el año 2023 (…):  (…).        Proyectos aún no finalizados (para 2024): (En curso) (…). (En curso) (…). (En curso) (…). (En curso) (…). (En curso) (…). (En curso) (…). - En respuesta a nuestra solicitud para que aporten (…), se aporta informe de la empresa (…) con la siguiente afirmación:  Durante la (…).  Posteriormente, durante la fase de (…) revisados por el equipo de (…). - En relación con la acreditación de la comunicación realizada a las personas afectadas (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/59 Teniendo en cuenta la información aportada en la respuesta anterior, en fecha 25 de mayo de 2023 se decide hacer nuevo requerimiento de información al responsable BEEDIGITAL marcado por la siguiente línea de investigación: - En la respuesta anterior afirmaban que la base legítima para llevar a cabo el tratamiento de datos de la parte reclamante era el cumplimiento de obligación legal aplicable al responsable, se solicita en este nuevo requerimiento para que acrediten la norma que determina esta obligación legal. - Se solicita el nombre de las actividades del RAT (…) y el nombre de la actividad de tratamiento en la que se basa el tratamiento de los datos personales de la parte reclamante. - Se solicita el informe de investigación sobre (…) (según la información aportada). - Se solicita la justificación (…) el 21 de octubre de 2022. En fecha 9 de junio de 2023 y registro de entrada REGAGE(…), se recibe respuesta al requerimiento anterior por parte de BEEDIGITAL, de su análisis se extrae: - - - Confirman que la norma aplicable al responsable como base que legitima el tratamiento es el artículo 23 (Sistemas de exclusión publicitaria), apartado 4 de la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales. Confirman que las actividades de tratamiento del RAT (…):  Servicio de Atención a Clientes  Atención al Ejercicio de Derechos  Clientes  Consejo de Administración y Comité Ejecutivo  RRHH y Gestión de Personal  Expedientes Jurídicos  Personas de Contacto  Potenciales Clientes  Proveedores Confirman que la actividad del RAT vinculada al tratamiento de los datos personales de la parte reclamante es la actividad “Atención al Ejercicio de Derechos”. Tras análisis del RAT […] se extraen los siguientes datos asociados con esta actividad:  Base jurídica: RGPD: 6.1.
4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.  Finalidad: Atender las solicitudes de los interesados en el ejercicio de los derechos que establece el Reglamento General de Protección de Datos.  (…): Usuarios BeeDIGITAL. Clientes. Potenciales Clientes. Proveedores. Personas de contacto. Candidatos a empleo.  Datos: carácter identificativo (DNI, NIF, pasaporte, nombre y apellidos, dirección), características personales (estado civil, fecha y lugar de nacimiento, edad, sexo, nacionalidad) y familiares (nombre padre y madre).  Plazo de conservación: 3 años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/59  - Medidas: “(…)”. Aportan documento con la copia del informe de investigación realizado por la empresa (…) en relación con (…), del análisis de este documento se aporta al presente informe:  Se trata de un informe que tiene como finalidad determinar (…), su fecha de realización es el 26 de septiembre de 2022.  En este informe se afirma que (…) (Sin medios de pago).  En total (…). No se han detectado menores ni personas de colectivos vulnerables (…).   Se afirma que a fecha de 20 de septiembre de 2022 se evidenció que la información y los datos personales (…) y datos contenidos en el servidor (…). Se afirma que las medidas técnicas y organizativas que existían (…) en respuesta a requerimiento de información previo):  Medidas organizativas preventivas:      (…). Medidas técnicas preventivas: (…). Se afirma que las medidas técnicas y organizativas (…) implantadas (…): (…)  Se afirma que, (…) basándose en los datos disponibles en el (…), concluyendo con la necesidad de comunicar tanto a los afectados como a la AEPD. - En relación con nuestra solicitud para que aporten el motivo justificativo del (…) afirman: “tras recibir el informe de la empresa (…).” - En respuesta a nuestra solicitud para que acrediten la (…). En fecha 29 de mayo de 2023 se decide realizar nuevo requerimiento de información dirigido […] ADIGITAL […]: - Que se acredite el registro de la reclamante en la Lista Robinson y el procedimiento que se sigue para remitir las revocaciones de consentimiento de llamadas publicitarias solicitadas por usuarios registrados en la Lista. - Que referencia la solicitud realizada por parte de esta Agencia en el año 2009 por la que se incorporó la nueva opción para que los usuarios puedan hacer llegar la revocación del consentimiento a entidades adheridas al servicio. - Que se aporte el Registro de Actividades de Tratamiento. En fecha 9 de junio de 2023 y número de registro de entrada REGAGE23(…) se recibe respuesta […] por parte de ADIGITAL, […]: - Se acredita documento con el registro realizado por la reclamante en el servicio Lista Robinson y un histórico de todas las modificaciones realizadas, quedando acreditado que la reclamante se creó un usuario en el servicio el 21 de mayo de 2018 y posteriormente envió las siguientes revocaciones de consentimiento:  A la empresa adherida ERALOGISTICS PERSONAL SL, A80907397.  A la empresa adherida ORANGE ESPAGNE SAU, A82009812. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/59 -  A la empresa adherida BEEDIGITAL AI SAU, A84619485.  A la empresa adherida OCASO, S. A., A28016608.  Se acredita un documento que contiene una nota informativa publicada en junio de 2009 sobre un acuerdo alcanzado entre la AEPD y la Federación de Comercio Electrónico y Marketing (FECEMD) en relación con el nuevo servicio Lista Robinson, en este se hace la siguiente referencia: “Asimismo, el servicio permitirá adicionalmente al ciudadano seleccionar entidades con las que ha mantenido o mantiene una relación contractual para manifestar su negativa a recibir publicidad telefónica, uno de los canales más utilizados en la actualidad para la realización de acciones publicitarias. A raíz de una petición expresa de la AEPD, la FECEMD ha habilitado en www.listarobinson.es un espacio dirigido a los ciudadanos, a través del cual se podrán poner en contacto con las entidades que sean usuarias del servicio de FECEMD con las que han mantenido o mantienen en la actualidad algún tipo de relación, y de las que no desean recibir comunicaciones comerciales por vía telefónica, para que éstas se pongan en contacto el solicitante con el objeto de atender su solicitud”. - En relación con la información proporcionada a aquellas empresas adheridas que el usuario decida enviar la revocación del consentimiento, ADIGITAL afirma lo siguiente: “los datos proporcionados en el correo que se envía a las empresas adheridas son los mínimos necesarios para que estas puedan identificar adecuadamente al interesado que ejerce el derecho de revocación del consentimiento, en concreto: [Nombre y Apellidos; Número de DNI; Correo electrónico; Números de teléfono inscritos en el servicio Lista Robinson para los cuales el usuario solicita la retirada del consentimiento.] El servicio Lista Robinson actúa como mero intermediario en esta comunicación y que este sistema es independiente del servicio de exclusión publicitaria, para el cual se establece un proceso pseudonimizado de consulta que garantiza que las entidades no tienen acceso a los datos de los usuarios inscritos, dado que en este caso no es necesario que la entidad establezca comunicación directa con el usuario para responder a su solicitud, al contrario de lo que sucede en el sistema de revocación del consentimiento”. - Se acredita documento con una carta enviada desde esta Agencia a la FECEMD en fecha 24 de junio de 2009 agradeciendo el interés y sensibilidad manifestado por la organización en el proceso de incorporación al servicio Lista Robinson las sugerencias formuladas desde la Agencia. - En la respuesta ADIGITAL también hace referencia al premio concedido por esta Agencia en el año 2018 por las Buenas Prácticas en privacidad y protección de datos personales sobre iniciativas para adaptarse al Reglamento Europeo de protección de datos y por su adaptación del servicio de Lista Robinson al RGPD. En el marco de esta investigación también se ha analizado el Reglamento del servicio de Lista Robinson publicado en la web de ADIGITAL y con fecha de actualización febrero de 2020, del análisis de este reglamento se destacan los dos siguientes artículos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/59 Artículo 32.- DE LA REVOCACIÓN DEL CONSENTIMIENTO Los ciudadanos podrán revocar su consentimiento a la recepción de llamadas par comunicaciones comerciales a través del Servicio frente a aquellas empresas adheridas a las que hubiesen prestado su consentimiento previamente. Artículo 33.- DE LA GESTIÓN DE LA SOLICITUD DE REVOCACIÓN DEL CONSENTIMIENTO 1. El Servicio trasladará la solicitud de revocación del consentimiento a la recepción de llamadas para comunicaciones comerciales del ciudadano a la correspondiente entidad adherida a través de una notificación. 2. La entidad adherida deberá cesar el tratamiento respecto del solicitante y deberá comunicarle en el plazo de un mes que ha procedido a suprimir dicho tratamiento. 3. A fin de tramitar la solicitud de revocación, la entidad requerida podrá ponerse en contacto con el ciudadano, suspendiéndose el cómputo del plazo indicado en el apartado anterior mientras este no responda. […] >> SEXTO: Información económica de BEEDIGITAL De acuerdo con el informe recogido de la herramienta AXESOR, la cifra de negocio de la entidad BEEDIGITAL AI, S.A., en el ejercicio 2022 fue de (…) € y el número de empleados de (…). Según el citado informe la actividad está inscrita en el Código Nacional de Actividades Económicas (CNAE) en el epígrafe 7311, “Agencias de publicidad” y su tamaño es “Grande”. BEEDIGITAL, AI, S.A., es filial del grupo CARRACOSTA, S.L., con NIF B.87694105, sociedad limitada constituida en el año 2016 con carácter unipersonal. De acuerdo con el informe recogido de AXESOR se trata de una microempresa, con solo un empleado estimado y con una cifra de negocio en el ejercicio 2022 de (…) euros. SÉPTIMO: Acuerdo de apertura del procedimiento En fecha 19/02/2024 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP por la presunta infracción de los siguientes preceptos del RGPD: -Artículo 5.1.f), infracción tipificada en su artículo 83.5.
5. a)-Artículo 33, infracción tipificada en su artículo 83.4.
6. a)-Artículo 34, infracción tipificada en su artículo 83.4.a). OCTAVO: Petición de ampliación del plazo. Petición de copia del expediente 1.-Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, notificación que consta aceptada en fecha 19/02/2024, mediante escrito presentado en fecha 21/02/2024 BEEDIGITAL solicita la ampliación del plazo para formular alegaciones al acuerdo de inicio. En escrito de fecha 22/02/2024, cuya notificación es aceptada por BEEDIGITAL el mismo día, el órgano instructor acuerda ampliar el plazo por el máximo permitido legalmente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/59 2.-Posteriormente, mediante escrito presentado en esta Agencia el 27/02/2024, BEEDIGITAL solicita que se le haga entrega de una copia del expediente administrativo (folios 354 y 355). Además, en ese escrito expone: “Asimismo, esta administrada entiende que el cómputo del plazo concedido no debería comenzar a contar hasta el momento de recepción del expediente reclamado a fin de no ver limitado su derecho.” (Folios 357 y 358) En escrito firmado por el órgano instructor en fecha 05/03/2024 se acuerda hacer entrega de la copia del expediente que BEE DIGITAL recibió el mismo día. NOVENO: Alegaciones al acuerdo de inicio En fecha 11/03/2024 BEEDIGITAL presenta sus alegaciones al acuerdo de inicio en las que solicita el archivo de las actuaciones en atención a que la prueba documental que aporta, según dice, evidencia que los hechos no constituyen infracción alguna. Esgrime en defensa de su pretensión de archivo del procedimiento, en síntesis, estos argumentos: 1.Solicita que se declare la nulidad de pleno derecho del acuerdo de inicio del procedimiento sancionador al amparo de los artículos 47.1.
7. a)y 47.1.
8. c)de la LPACAP por vulneración del plazo legal para formular alegaciones “al verse menguado por causas atribuibles únicamente a la Administración.” Sobre tal cuestión, manifiesta que la copia del expediente que había solicitado fue entregada “por la Administración 3 días hábiles antes de la finalización del plazo concedido, incluyendo su ampliación.” “En resumen, un breve plazo de diez días, ampliado a quince, ha sido reducido por la inadecuada actuación administrativa infringiendo así los arts. 29; 63.2 y 64 de la LPACAP y el art. 25.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, “LRJSP”).” (El subrayado es nuestro) 2.BEE DIGITAL invoca que el ámbito sobre el que versa la reclamación nada tiene que ver con las cuestiones que han sido analizadas por la Agencia ni tampoco con el objeto del procedimiento sancionador que nos ocupa. En tal sentido, dice: “Sin embargo, frente a todo lo anterior, la AEPD deja en el olvido el ámbito al que se refería la reclamación y abre un procedimiento sancionador completamente novedoso, referido a circunstancias que nada tienen que ver con lo analizado. En concreto, la AEPD desvía su atención hacia la gestión que BeeDigital hizo de (…)que originó la comunicación de aviso a la reclamante.” La reclamada inicia su alegato reproduciendo el texto de la reclamación presentada para subrayar a renglón seguido que la reclamación se basa en un pretendido defecto de licitud del tratamiento, artículo 6 del RGPD, por ausencia de una base de legitimación distinta de la ejecución de un contrato (letra b del artículo 6.1. RGPD). Indica que el resultado de las actuaciones de investigación no pudo haber sido otro que la constatación de la correcta actuación de esa entidad y el archivo del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/59 Considera que se han visto afectados los principios de seguridad jurídica y confianza legítima. Así, sostiene que el acuerdo de inicio de este procedimiento “contradice la previa actuación de la propia Administración, lo que afecta de lleno al principio de seguridad jurídica en perjuicio de BeeDigital” así como al principio de confianza legítima. En ese sentido, afirma (
9. i)que la Agencia había tenido ocasión de valorar la gestión (…) por la reclamante con ocasión de que BEEDIGITAL le notificara (…), que “fue tramitada bajo expediente: Registro de Entrada REGAGE(…)” y (
10. ii)que, “de la reclamación origen de este expediente no se esclarece ni se traslada, ni se incorpora, ni se acredita, ningún hecho ni noticia nueva.” Añade que “la AEPD tuvo la oportunidad de supervisar la gestión de (…)” y después de esa supervisión le notificó el 13/12/2022 que «Tras el análisis de la información adicional aportada, (…) y, sin perjuicio del curso de otros procedimientos, no están previstas más acciones por parte de esta División con relación a este acto de notificación (…).» Por las razones indicadas concluye que no es posible una nueva valoración distinta por la Administración sin incurrir en contradicción consigo misma o en arbitrariedad, no habiéndose producido ninguna nueva noticia que revele aspectos desconocidos que afecten al expediente con Registro de Entrada REGAGE22(…). En consecuencia, estima que el acuerdo de inicio de procedimiento sancionador notificado “contradice la previa actuación de la propia Administración, lo que afecta de lleno al principio de seguridad jurídica en perjuicio de BeeDigital.” Subraya también que, en cuanto la Administración altera su criterio sin hechos ni noticias nuevas, está implícitamente haciendo una declaración de voluntad de error propio, por lo que debe, además de explicar las causas de esa falta de diligencia, atender las consecuencias que su propia conducta generó, puesto que creó unas condiciones de todo en orden a las que la administrada se atuvo provocando, cuando menos, una situación de concurrencia de culpas. Finalmente, pero de relevancia trascendental, lo que la Administración está manifestando es que comprometió por su propia conducta la salvaguardia de los derechos fundamentales de los afectados al no haber adoptado la diligencia que le correspondía. Por todo ello, el procedimiento sancionador iniciado debe ser resuelto sin sanción alguna para BEEDIGITAL. 2.3. Que la Agencia no ha comunicado las razones que le han conducido al “reexamen y cambio de criterio” que hagan posible el control de legalidad de su actuación. 3. Infracción del artículo 5.1.
11. f)RGPD BEE DIGITAL reproduce los siguientes fragmentos del acuerdo de inicio: «[…] las actuaciones practicadas ponen de manifiesto, sin perjuicio de lo que resulte de la instrucción, que (…) de los datos personales registrados en los sistemas de información de BEEDIGITAL pudo producirse como consecuencia de no haber adoptados las medidas técnicas y organizativas, de todo tipo, exigidas por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/59 normativa de protección de datos personales que hubiesen impedido efectivamente que los (…). Es digno de mención en este sentido que el Informe de Auditoría de Cumplimiento con la normativa de Protección de Datos que la empresa ***EMPRESA.1 llevó a cabo en la entidad reclamada, firmado el 30/04/2021, más de un año antes del (…), recoja las siguientes “acciones correctoras requeridas”: “(…)”, “(…)”. [pág. 34/48 párrafos III a V del AIPS]” Seguidamente, afirma que no puede compartir la valoración que la AEPD hace en esos párrafos puesto que es evidente que, (…), “esto es algo que ya habría sido señalado por la propia AEPD hace dos años, en el expediente Registro de Entrada: REGAGE22e(…).” BEEDIGITAL niega que no hubiera adoptado medidas técnicas y organizativa y considera que el acuerdo de apertura se ha limitado a constatar que efectivamente se produjo (…), extremo del que la Agencia tenía conocimiento porque así se lo comunicó esa entidad en cumplimiento de la normativa sobre protección de datos aplicable. Subraya además que la Agencia declaró en el Informe de Actuaciones de Investigación (AI 00062/2023) que “4. Se ha constatado un amplio compromiso de la organización con la seguridad de la información y los sistemas, existiendo un amplio abanico de medida: técnicas y organizativas preventivas implantadas, entre las que destacan:” Esta declaración de la Agencia revela a su juicio la contradicción de la que adolece el razonamiento del acuerdo de inicio, porque habiendo renunciado el poder legislativo y el reglamentario a establecer un catálogo de medidas a adoptar, trasladando a los ciudadanos la carga de evaluación y concordancia de principios a la hora de fijar el catálogo de reglas aplicables, “dado este entorno normativo, no puede venirse, con posterioridad, a exigir al ciudadano el haber acertado con la medida exacta bajo el entendimiento de que sólo hay una opción válida.” Es más, considera que “si fuera esa única opción ya se habría convertido en obligación legal. Por lo tanto, es obligado concluir que cabe entender, como cumplimiento adecuado, un abanico de posibilidades que, necesariamente, no pueden tener todas ellas el mismo grado de seguridad.” Manifiesta BEE DIGITAL que “el reproche que se haga no vendrá por tener o no tener adoptada una u otra medida concreta, sino porque la valoración efectuada por la administrada, a la hora de seleccionar esas medidas, sea de todo punto irracional o inexistente y, además, probarlo, porque estamos en un procedimiento sancionador.” Lo que el acuerdo de inicio no ha hecho, por lo, concluye la reclamada, la imputación de la infracción del artículo 5.1.
12. f)RGPD no puede prosperar. 4. Respecto a la infracción del artículo 33 del RGPD Manifiesta frente a la imputación de la infracción del artículo 33 RGPD que ha de contar con suficiente prueba de cargo es que la dilación ha sido indebida y esto es lo que no se aprecia en el acuerdo de inicio notificado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/59 Afirma que, probablemente, la apreciación excesivamente rigorista que sostiene la AEPD proviene de una interpretación de la legislación vigente, consistente en un adelantamiento de la exigencia de la comunicación a la autoridad de control, con la que estamos en desacuerdo ya que no es coincidente con lo señalado en la ley. La ley no pide que se notifique toda violación de la seguridad que sufra una empresa, sino que requiere previamente que se determine con seguridad que esa violación de seguridad afectó a datos personales. Y requiere, además, evaluaciones subsiguientes antes de precipitarse en comunicar a la autoridad de control. De los pasos seguidos y de las actuaciones practicadas se ha dado cumplida cuenta a la AEPD, de donde se debe alcanzar la conclusión de que la evaluación y las actuaciones acometidas no pueden ser calificadas de inexistentes o irracionales, sino todo lo contrario: apropiadas y justificadas. Indica que fue en fecha (…) cuando se pudo llegar a la conclusión de que era preciso hacer la notificación correspondiente a la autoridad de control, momento a partir del cual en el seno de la compañía se estableció el término inicial para el cómputo de las 72 horas . Y, alcanzada esta convicción, se produjo la notificación a la AEPD dentro del plazo de 72 horas de haber tenido constancia de cumplirse todas las exigencias determinadas en la ley para que se verificara la notificación de la violación de seguridad. 5. Respecto a la infracción del artículo 34 RGPD Reitera los óbices ya mencionados en relación con la infracción del artículo 33 RGPD en el sentido de que procedió profesionalmente a cumplir con sus cargas y obligaciones, ordenando su proceder conforme a las convicciones a las que fue llegando a medida que iba poseyendo un conocimiento más seguro de lo acontecido. Reitera que “los pasos seguidos fueron razonables, como razonables fueron las ponderaciones verificadas, y que así se justifica la actuación de la AEPD en el expediente de 2022.” Añade que “la razonabilidad descansa” en los presupuestos sobre los que se operaba. Se refiere a la “tipología típica del cliente” de BEEDIGITAL del que dice “responde a la categoría de profesionales y trabajadores autónomos por lo que los datos de que se dispone son los propios de su actuación en cuanto empresarios y, normalmente, los mismos son accesibles al público a través de los colegios profesionales y otros medios usuales de publicidad.”. Se refiere también a que “fue preciso una labor de determinación de los medios de comunicación factibles para comunicarse con los afectados, lo que condujo a establecer diversos medios para alcanzar el fin de cumplimiento universal de esta carga, y, con ello, obviamente una dilatación de procesos para desgranar, determinar y comunicar. Y atender a que, de este modo, se pudo poner al alcance de todo potencial afectado” la información del incidente de seguridad. Insiste en que desde el primer día en que las herramientas de ciberseguridad detectaron un posible (…) se pusieron en marcha todos los protocolos preestablecidos en previsión de este tipo de acontecimientos y se iniciaron los análisis de los datos conseguidos tras la detección para valorar, en primer lugar, si realmente se trata de una amenaza externa. Añade seguidamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/59 “En las primeras fechas inmediatas a la percepción del (…).” “Igualmente, de forma prioritaria y urgente (…).” “SIA entregó su informe, relativo al contenido de los ficheros afectados por el (…). Lo anterior en tanto, el Comité de Dirección, reunido de urgencia en fecha (…).” “Por otra parte, y como consecuencia de las medidas de (…)el Comité de Dirección como los diversos equipos de trabajo constituidos, tanto meramente internos como mixtos (equipos de Ciberseguridad, Protección de Datos, Legal, Marketing y Recursos Humanos), (…).“ “Por la Directora de Servicios Jurídicos se procedió de seguido a informar (…). A continuación, y sin solución de continuidad desde la conformidad de la dirección de la empresa, desde el 6/10/22 al 20/10/22 se mantuvieron todas las reuniones necesarias por los equipos concernidos, como el Comité de Ciberseguridad y los equipos de Marketing, Servicios Jurídicos y el Delegado de Protección de Datos, a fin de preparar las distintas comunicaciones y (…). Luego, se confeccionaron los (…) conjuntándose los requerimientos indicados por cada equipo y se trasladó a la dirección para su aprobación, cosa que se obtuvo tras reunión de urgencia en fecha 20 de octubre, y, a partir de día siguiente (21, 22 y 23) (…).” “A modo de complemento de la información que se aporta a la AEPD se manifiesta que hubo de tamizar: (…). - (…). - (…). - Identificar datos personales de datos públicos, comerciales o profesionales. Esta tarea requirió primero de un análisis por fases, que resumiendo fueron las que se indican a continuación: - Análisis de (…). - (…). - Identificación de datos personales, descartando los datos públicos, tras realizar un análisis exhaustivo en las BBDD y servicios para averiguar: o si estaba publicado el nombre y apellidos. o si estaba publicada la dirección postal. o si estaba publicado el email. o si estaba publicado el teléfono. A todo este trabajo y dedicación, desde luego, no se le puede achacar desidia ni desatención, en tanto se ha realizado un esfuerzo colectivo que no ha regateado, en ningún momento, en atención. Siendo relevante, desde otra perspectiva, constatar que el éxito de todo lo que fue puesto en práctica pues, con la (…).” Anexa a sus alegaciones 13 documentos relativos a las medias de seguridad adoptadas tras el incidente y a la inversión financiera efectuada. Propone las siguientes pruebas: 1.-Expediente completo: Registro de Entrada: REGAGE22e00044804532 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/59 2.- Los documentos citados en el cuerpo de este escrito de alegaciones entre ellos: 2.1- La demás documental contenida en el expediente: EXP202301080. 2.2 Los documentos de incremento de seguridad nº 1 a 10. 2.3- Los documentos referidos al esfuerzo financiero cumplido por BeeDigital aportados como documentos nº 11, 12 y 13). DÉCIMO: Fase de prueba 1.En fecha 17/12/2024 se abre una fase de prueba y se acuerda practicar las siguientes diligencias probatorias: 1.1.Dar por reproducidos a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación anexa, así como los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. Asimismo, los documentos obtenidos y generados en el marco de las actuaciones previas de investigación y el informe de actuaciones previas firmado por el inspector actuante, documentos que integran el procedimiento AI/00062/2023. 1.2.Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado presentadas por BEEDIGITAL AI , S.A., en fecha 11/03/2024, y la documentación que a ellas acompaña: Los documentos de incremento de seguridad nº 1 a 10 y los documentos referidos al esfuerzo financiero cumplido por BEEDIGITAL aportados como documentos nº 11, 12 y 13. 1.3. Se admite la prueba propuesta por BEEDIGITAL y se solicita a la División de Innovación Tecnológica de la AEPD una copia de los documentos a los que la parte reclamada alude como “expediente completo” “con Registro de Entrada:REGAGE22(…)”. 2. Resultado de las pruebas. En fecha 17/12/2024 se remite por la DIT la documentación asociada a la referencia REGAGE22(…). Se trata de los documentos siguientes: Los identificados con la referencia de entrada en el Registro de la Agencia REGAGE22(…), de fecha 09/09/2022 y REGAGE22(…), de fecha 07/10/2022, ambos presentados por BEEDIGITAL. Los escritos enviados por la DIT a BEEDIGITAL en fechas 13/09/2022, respondiendo al de BEEDIGITAL de fecha 09/09/2022, y 13/12/2022, respondiendo al escrito de 07/10/2022. UNDÉCIMO: Se acompaña como anexo la relación de los documentos que obran en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación que obra en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/59 PRIMERO: (…) En fecha 09/09/2022 BEEDIGITAL notificó a la AEPD una (…)”. En el formulario de notificación manifestó (Folios 1 a 6): -Que viene realizando este tratamiento de datos desde hace más de 5 años. -Que el número aproximado de personas físicas sobre las que “recoge, almacena o trata datos personales de otra forma, referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales” es de 556.120. -Que el tratamiento sobre el que se ha producido (…) únicamente datos de personas en España. -Que el incidente ha sido intencionado, “para hacer daño al responsable / encargado o a las personas afectadas”, y que su origen ha sido externo, ajeno al responsable. -Respecto a lo que pudo haber ocurrido indica: “(…): Acceso no autorizado a datos en sistema de información (corporativo o servicio en internet)” -Que, como consecuencia del incidente, se ha visto (…). -Respecto a los datos afectados por (…), declara que “No” “(…)”. -Sobre lo que pudo haber ocurrido, manifiesta: “Aún desconocido”. -Sobre el grado en que las consecuencias identificadas del incidente podrían afectar a las personas físicas, manifiesta: “Aún desconocido”. -Sobre los datos que se han visto afectados (exclusivamente de personas físicas), indica: “Datos básicos (Ej: (…)”. -Respecto a las personas físicas afectadas, dice que entre ellas no hay ni menores ni miembros de colectivos vulnerables y respecto a su perfil indica “Clientes / Ciudadanos, Suscriptores /Potenciales clientes, Empleados” -Sobre el número de personas que habrían visto sus datos (…) personales indica: 17.000. -Sobre la fecha en la que se detectó (…)”, indica: “06/09/2022”. -Sobre la fecha en la que (…), “Aproximadamente / Estimada”, indica el (…). -Sobre cómo se detectó (…) personales indica que fue a través de “Medios de detección implementados proactivamente por el responsable o encargado de tratamiento”. -Sobre la “Justificación de (…)” la reclamada ha indicado: “Otros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/59 -Respecto a las (…) que tenía implementadas “antes (…)”, hace constar las siguientes: “(…).” -Respecto a si se podría haber evitado “(…)”. -Respecto a si dispone de un análisis de riesgos documentado que (…), indica: “Sí”. - Respecto a las “Acciones tomadas tras el incidente”, manifiesta que ha “actualizado su registro de incidentes con la información de (…).” Que “desconoce si las nuevas medidas adoptadas tras el incidente podrían (…).” -Sobre la nuevas medidas de seguridad (…) las que se hayan actualizado, dice: “Los sistemas informáticos se mantienen actualizados, (…)”. -A la pregunta de si ha puesto el incidente en conocimiento de las autoridades policiales/ judiciales por considerar que es constitutivo de delito, responde “Sí”. -A la pregunta de si considera que ha tomado todas las acciones posibles y da por resuelta (…). -A la pregunta de si ha comunicado (…) las personas afectadas en las condiciones anteriormente descritas, responde: “Pendiente de decidir”. En el espacio que el formulario de notificación de la brecha destina a una breve descripción de lo ocurrido, en el que advierte que “en ningún caso lo aquí escrito podrá suponer una modificación sobre lo consignado en el resto del formulario”, figura lo siguiente: “Desde el pasado día (…) tenemos constancia de (…). Desde ese mismo instante se inició la (…)”. En el formulario se indica que se trata de una notificación “INICIAL a los efectos de cumplimiento con el plazo de notificación establecido en el RGPD. En el plazo máximo de 30 días se notificará información adicional. En caso contrario, la autoridad de control considerará esta notificación como COMPLETA.” (El subrayado es nuestro) SEGUNDO: Notificación de (…) En fecha 07/10/2022 BEEDIGITAL dirigió a la AEPD una notificación complementaria de la inicial de fecha 09/09/2022. En esta notificación manifestó al cumplimentar el formulario (folios 8 a 14): -Que su intención es “Modificar una notificación hecha con anterioridad para proporcionar información relevante” siendo el número de registro de la notificación a modificar “REGAGE22(…)”. - Sobre ese tratamiento de datos, indicó que se viene realizando desde hace más de 5 años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/59 -Respecto al número aproximado de personas físicas “sobre las que recoge, almacena o trata datos personales de otra forma; referido exclusivamente al tratamiento sobre el que se ha producido la brecha de datos personales”, indicó: (…). -En relación con los datos afectados por (…) manifestó que “no” están “(…)”. -Respecto a lo que pudo haber ocurrido, indicó: “Imposibilidad de ejercer algún derecho, Imposibilidad para acceder a un servicio, (…)”. -En relación con el grado en que podrían afectar a las personas físicas las consecuencias identificadas, indicó: “Las personas (…) (malversación de fondos, listas negras de los bancos, daños a la propiedad, pérdida de empleo, citación judicial, empeoramiento de la salud, etc.). (…)”. -Respecto a si tenía constancia en la fecha de esa notificación de que se hubieran “materializado alguno de los daños identificados con el grado indicado en la cuestión anterior”, respondió, “No”. -Sobre cómo valora la “(…)”. -Sobre los “(…)”, “exclusivamente de personas físicas”, indicó: “(…)”. -Respecto al “número de personas que han visto sus datos afectados por la brecha de datos personales,” indicó: 82.539. -Respecto a la “(…). -Respecto a la fecha “en la que (…), Aproximadamente / Estimada”, indicó: (…). - En cuanto a las “Medidas de seguridad (…)” manifestó: Que las medidas de seguridad que tenía implementadas la organización antes de la brecha eran: “Políticas de protección (…)”. Respecto a si “se podría haber evitado la (…)”. Respecto a “si se había producido el (…)”, respondió: “Desconocido”. Afirmó que sí disponía de (…). -En cuanto a las “Acciones tomadas tras el incidente”, manifestó: “¿Ha actualizado (…)? (…). “¿Ha (…)? (…)” “¿Ha adaptado / mejorado (…)? (…)” “Marque exclusivamente las nuevas medidas de seguridad y las que se hayan actualizado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/59 Políticas (…)”. -Respecto a la comunicación a los afectados por (…), manifestó que “No” se había comunicado la brecha a las personas afectadas en las condiciones anteriormente descritas, pero “(…)”. “(…)” “Medio por el que se informará: Telefónicamente o verbalmente, Comunicación dirigida personalmente a cada afectado (postal, email, sms o similar”. En el espacio que el formulario de notificación (…) para hacer una breve descripción de lo ocurrido, en el que advierte que “en ningún caso lo aquí escrito podrá suponer una modificación sobre lo consignado en el resto del formulario”, consta que según el informe de (…). “Se detectan (…)”. Al final del formulario de notificación de la brecha presentado el 07/10/2022 consta lo siguiente: “Esta notificación contiene toda la información que como responsable se ha podido recabar respecto (…). A todos los efectos, la Autoridad de Control puede considerar esta notificación como COMPLETA y no está previsto aportar más información.” TERCERO: Reclamación presentada En fecha 30/11/2022 se recibe en la AEPD una reclamación frente a BEEDIGITAL en la que la parte reclamante manifiesta que sus datos personales -nombre, apellidos, NIF, teléfono y correo electrónico- se han visto (…). Declara que BEEDIGITAL le ha informado que obtuvo sus datos de la Lista Robinson. (Folios 16 a 18) Aporta el correo electrónico que recibió de BEEDIGITAL el 23/11/2022 desde la dirección clientes@com.beedigital.es, en el que le comunica que (…)que ha afectado a sus datos personales (Folios 19 a 21): <<Asunto: BeeDIGITAL Info: Notificación protección de datos […] Para BeeDIGITAL, la protección de datos es una de las áreas a la que aplica un compromiso prioritario, […]. Precisamente para cumplir con este fin es por lo que sus datos obran en nuestro poder. Accedemos a la Lista Robinson para asegurar que cumplimos con sus requerimientos en materia relacionada con comunicaciones electrónicas. Desafortunadamente, (…), a los sistemas de almacenamiento compartido de datos de BeeDIGITAL. […] No se han visto (…), únicamente (…).” (El subrayado es nuestro) CUARTO: Sobre el origen de los datos de la parte reclamante tratados por BEEDIGITAL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/59 Obra en el expediente, aportado por BEEDIGITAL (folio 146, documento 1.1. anexo a su respuesta de fecha 16/05/2023 al primer requerimiento de la Inspección de Datos) un documento firmado por el Servicio Lista Robinson el día 04/05/2023 en el que, a solicitud de la parte reclamada, certifica estos extremos: - - - “Que, […] el 25 de mayo de 2018, la entidad BEEDIGITAL AI SAU, con NIF número A84619485, recibió una solicitud de revocación del consentimiento para llamadas comerciales remitida a través del Servicio de Lista Robinson por la usuaria del servicio Doña A.A.A., con NIF número [...]. Que la solicitud de revocación del consentimiento fue enviada por correo electrónico a BEEDIGITAL AI SAU, en nombre de Doña A.A.A., después de que esta seleccionase en la casilla establecida a esta entidad de manera individual y expresa. Que, en la fecha del envío, el nombre con el que figuraba en el Servicio de Lista Robinson la entidad BEEDIGITAL AI SAU era “PAGINAS AMARILLAS SOLUCIONES DIGITALES”. Que el contenido de la notificación incluía los siguientes datos identificativos de la interesada, necesarios para satisfacer la solicitud de revocación del consentimiento: a. Nombre y apellidos. b. Número de DNI.c. Correo electrónico a efectos de notificaciones.d. Números de teléfono inscritos en el Servicio de Lista Robinson para los cuales la interesada solicitaba la retirada de su consentimiento para recibir llamadas comerciales.” QUINTO: Sobre el origen de los datos de la parte reclamante tratados por BEEDIGITAL Obra en el expediente un documento aportado por ADIGITAL que acredita el registro realizado por la parte reclamante en el servicio Lista Robinson y el histórico de modificaciones de su perfil. El documento (folios 186 a 190) recoge la creación en fecha de 21/05/2018, a las 11:53:45.000, de un usuario (…)- del servicio de Lista Robinson con los datos del NIF, nombre, apellidos y dirección de correo electrónico de la parte reclamante (la misma en la que recibió el mensaje de BEEDIGITAL). En esa misma fecha, en los minutos siguientes, están registradas con ese usuario diversas inscripciones (como una dirección postal en el canal postal; la dirección de correo electrónico en el canal email; de un teléfono móvil finalizado en (…) en el canal telefónico; de un número de teléfono fijo en el canal telefónico y del número de teléfono móvil en el canal SMS). En la misma fecha y desde las 12:02:00, constan realizadas por ese usuario estas revocaciones del consentimiento: -La “Revocación del consentimiento para llamadas comerciales a la empresa […] ERALOGISTICS PERSONAL SL, A80907397”. El documento incluye un “Comentario”: “En esta fecha, la empresa ERALOGISTICS PERSONAL SL constaba como “VODAFONE ESPAÑA, S.A.U.” -La “Revocación del consentimiento para llamadas comerciales a la empresa […] ORANGE ESPAGNE SAU, A82009812”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/59 -La “Revocación del consentimiento para llamadas comerciales a la empresa […]BEEDIGITAL AI SAU, A84619485”. El documento incluye un “Comentario”: “En esta fecha, la empresa El documento incluye un “Comentario”: “BEEDIGITAL AI SAU constaba con el nombre “PAGINAS AMARILLAS SOLUCIONES DIGITALES”. -La “Revocación del consentimiento para llamadas comerciales a la empresa […] OCASO, S. A., A28016608”. SEXTO: Sobre el origen de los datos de la parte reclamante tratados por BEEDIGITAL Obra en el expediente (folio192), aportada por ADIGITAL, una nota informativa conjunta de la AEPD y de FECEMED publicada en junio de 2009 sobre el acuerdo alcanzado en relación con el nuevo servicio Lista Robinson, que dice: “Los ciudadanos disponen desde hoy de un nuevo sistema para evitar recibir comunicaciones comerciales no solicitadas • Se trata de un nuevo servicio Lista Robinson en el que los ciudadanos pueden inscribirse para evitar recibir comunicaciones comerciales, mediante llamadas, sms, correo postal y correo electrónico, de empresas con las que no mantenga o no haya mantenido algún tipo de relación. • Además, se ha habilitado un sistema que permite a los ciudadanos seleccionar entidades con las que ha mantenido o mantiene una relación contractual para manifestarles su negativa a recibir publicidad telefónica de las mismas. • Hasta la fecha las listas comunes de exclusión, o Listas Robinson, existentes solo permitían restringir la publicidad no deseada que recibían los ciudadanos a través de correo postal.” (El subrayado es nuestro) SÉPTIMO: Denuncia policial Obra en el expediente (folio 149, documento 2 anexo a la respuesta al primer requerimiento de la Inspección) la copia de la denuncia presentada en la Comisaría de Policía por la representante legal de BEEDIGITAL el (…) en la que consta: -En fecha 26/08/2022 la empresa a la que representa ha sufrido (…). -“Que no sabe el (…) de información confidencial de la empresa (…).” - “Que las citadas comprobaciones las está realizando el equipo de (…)”. (El subrayado es nuestro) OCTAVO: Informe de Auditoría de cumplimiento Obra en el expediente aportado como documento 3.4. con la respuesta al primer requerimiento de la Inspección de Datos de fecha 16/05/2023, (folios 153 y siguientes) el informe de la última auditoría de cumplimiento de BEEDIGITAL. En el documento, denominado “Informe de Auditoría de Cumplimiento con la normativa aplicable de protección de datos (RGPD y LOPDGDD)”, que se elabora el (…) por ***EMPRESA.1, consta que, en relación con las medidas técnicas y organizativas apropiadas para garantizar (…): (
13. i)BEEDIGITAL (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/59 En relación con tales carencias el informe indica que, con una (…), BEEDIGITAL (…). Respecto al cifrado de comunicaciones internas y externas el (…). Nada se indica sobre la seudonimización de los datos. NOVENO: BEEDIGITAL manifestó en su respuesta al traslado de la reclamación -escrito presentado en la AEPD el 13/02/2023- que: “7. Como acciones encaminadas a evitar que se produzcan incidencias similares a las acontecidas debido a la brecha de seguridad referida en el punto 4 y en relación con el tratamiento de datos que se reciben a través del Servicio Lista Robinson, se decidió (…) de estos. Medida que (…).”( El subrayado es nuestro) DÉCIMO: Informe de SIA, S.A.U. Obra en el expediente el informe de investigación realizado por la empresa (…) de fecha 26/09/2022 en relación con los (…) que tiene como finalidad determinar las consecuencias que la (…) pudo causar en los derechos y libertades de las personas afectadas. -Afirma que (…). -Se vieron (…) entre los que se encuentran clientes, empleados o suscriptores a nivel nacional. (…). No se han detectado menores ni personas de colectivos vulnerables entre las personas afectadas. -Indica que las medidas técnicas y organizativas que BEEDIGITAL tenía implantadas antes de la brecha eran las siguientes: Medidas organizativas preventivas: (…). Medidas técnicas preventivas: (…). Medidas técnicas y organizativas (…) implantadas (…): (…). Se afirma que, (…) basándose en los datos disponibles en el (…), concluyendo con la necesidad de comunicar tanto a los afectados como a la AEPD. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/59 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el supuesto de hecho analizado, de acuerdo con lo establecido en los artículos 4.1 y 4.2. del RGPD, resulta acreditado que BEEDIGITAL, en el desarrollo de su actividad empresarial, lleva a cabo un tratamiento de datos personales, entre ellos los datos de la parte reclamante (nombre y apellidos, DNI, teléfono móvil, teléfono fijo, correo electrónico) a los que tuvo acceso al habérselos comunicado ADIGITAL cuando dio curso a la solicitud de la parte reclamante efectuada en 2018 a través del servicio de Lista Robinson de revocación del consentimiento para recibir llamadas comerciales de esa entidad, entonces denominada PÁGINAS AMARILLAS. El artículo 4.2. del RGPD define el tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción El artículo 4.7 del RGPD define al responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En virtud del artículo 4.7 del RGPD BEEDIGITAL tiene la condición de responsable del tratamiento de datos de la parte reclamante, pues determina los fines y medios de ese tratamiento. Por su condición de responsable BEEDIGITAL está obligada a observar los principios que presiden el tratamiento de datos personales y a cumplir las obligaciones que le impone el RGPD y la LOPDGDD. III Sobre el tratamiento de los datos personales de la parte reclamante efectuado por BEEDIGITAL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/59 1.BEEDIGITAL y su condición de entidad adherida a ADIGITAL BEEDIGITAL desarrolla su actividad empresarial en el ámbito de la publicidad, tal y como resulta del epígrafe del CNAE en el que se encuentra inscrita (empresas de Publicidad) y de la información sobre su objeto social que publica el Registro Mercantil (R.M.): “Operaciones de comunicaciones con el objeto de promover la imagen y el prestigio público y social de las compañías, marcas comerciales, individuos, productos y ventas a través de estudios de mercado.” Se advierte que la denominación de la entidad reclamada ha experimentado varios cambios desde que esta sociedad anónima se constituyó y adoptó su actual objeto social. En el año 2009 se inscribió con el nombre de Yell Publicidad, S.A.; en fecha 13/03/2013 pasa a denominarse “hibu Connect, S.A.” En fecha 17/10/2017 cambia el nombre por el de Páginas Amarillas Soluciones Digitales, S.A., y mediante inscripción de fecha 16/06/2022 se denomina BEEDIGITAL AI, S.A. Por otra parte, ADIGITAL -antes Federación de Comercio Electrónico y Marketing Directo (FECEMD)- creó en el año 1992 el Servicio de Lista Robinson como un servicio de exclusión publicitaria. ADIGITAL, en su respuesta al traslado de la reclamación de la Subdirección General de Inspección de Datos (SGID), explica que en el año 2009 el Servicio de Lista Robinson incorporó una nueva función y dice textualmente: “además de inscribirse en servicio, pueden opcionalmente enviar a las entidades adheridas al servicio una solicitud de revocación del consentimiento para recibir llamadas comerciales. Esta solicitud de revocación se transmite de forma directa por email a la entidad inscrita que el interesado seleccione individualmente a través de un menú desplegable donde figura el listado de las entidades adheridas al servicio.” (El subrayado es nuestro) Paralelamente, cabe señalar que, en el año 2009, en el que ADIGITAL, entonces FECEMED, incorporó en el Servicio de Lista Robinson la nueva opción que menciona en su respuesta al traslado de la SGID, la normativa vigente permitía tratar con fines de publicidad los datos de carácter personal que figurasen en fuentes accesibles al público pudiendo el interesado oponerse al citado tratamiento. La normativa de protección de datos entonces aplicable -la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, LOPD, y su Reglamento de desarrollo, aprobado por el Real Decreto 721/2009, RLOPD - preveía la creación de ficheros comunes sobre los datos de carácter personal que resultaran necesarios para evitar el envío de comunicaciones comerciales a los interesados que manifestaran su negativa u oposición a recibir publicidad y obligaba a quien pretendía efectuar un tratamiento relacionado con actividades de publicidad o prospección comercial a consultar con carácter previo esos ficheros “a fin de evitar que sean objeto de tratamiento los datos de los afectados que hubieran manifestado su oposición o negativa a ese tratamiento”, (artículo 30 LOPD y artículo 49, apartados 1 y 4 RLOPD). Además, el RLOPD desarrolló el derecho de oposición, advirtiendo, en el apartado 1 del artículo 51, que los interesados tenían derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, y que el ejercicio de este derecho debía entenderse sin perjuicio del derecho del interesado a revocar cuando lo estimase oportuno el consentimiento que hubiera otorgado, en su caso, para el tratamiento de los datos, derecho a revocar el consentimiento que se reconocía en el artículo 6.3 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/59 En fecha 15/06/2015 BEE DIGITAL, entonces “hibu Connect, S.A.U.”, suscribió con ADIGITAL un contrato de prestación del “Servicio Lista Robinson” cuya copia obra en el expediente. La cláusula primera del contrato, “Objeto”, dice en el punto 2: “El Servicio de Lista Robinson se regulará por las disposiciones contenidas en el Reglamento del fichero de Lista Robinson (en adelante, Reglamento), el cual forma parte inseparable del presente contrato como Anexo I”. Pues bien, obra en el expediente la copia del Reglamento de ADIGITAL que formaba parte del contrato suscrito con BEEDIGITAL. Se trata de la versión aprobada por la Junta Directiva de ADIGITAL en fecha 06/05/2008, si bien, incorporando modificaciones posteriores como la del año 2009 antes citada. Así lo demuestra el que el Preámbulo del ejemplar del Reglamento aportado (en lo sucesivo Reglamento v.2008) incluya el siguiente párrafo: “[…]Igualmente, como servicio añadido al servicio de Lista Robinson se recoge un procedimiento a través del cual ADIGITAL posibilita que los interesados se puedan poner en contacto con las entidades usuarias del servicio con la finalidad de notificarles su negativa al tratamiento de sus datos para la realización o envío de comunicaciones comerciales a través de llamadas telefónicas de sus propios productos o servicios.” (El subrayado es nuestro) 2.Las versiones del Reglamento del Servicio de Lista Robinson de ADIGITAL El Reglamento de ADIGITAL v.2008 que BEEDIGITAL ha remitido a esta Agencia formando parte del contrato suscrito el 15/06/2015 no menciona la “revocación del consentimiento para llamadas comerciales” -revocación que presupone que previamente el interesado ha prestado su consentimiento a un tratamiento con dicha finalidad- sino que alude en su lugar, exclusivamente, a la “negativa del interesado al tratamiento de sus datos” con fines comerciales. El artículo 4 del Reglamento v.2008 bajo la rúbrica “Notificación de la negativa al tratamiento” decía: “1.ADIGITAL ofrecerá a los interesados la posibilidad de enviar a la dirección de correo electrónico de las entidades, por ellos seleccionadas de entre las usuarias del servicio, una comunicación con la finalidad de trasladar a aquellas la negativa del interesado al tratamiento de sus datos para el envío o realización de comunicaciones comerciales de carácter publicitario de sus productos o servicios a través de llamadas telefónicas fijas o móviles y de que por aquéllas se dé respuesta a las mismas. 2.En los supuestos descritos en el párrafo anterior los interesados otorgan su consentimiento para que las entidades por ellos seleccionadas puedan comunicarse con ellos a los efectos de atender su solicitud a través de la dirección de correo electrónico que faciliten a ADIGITAL al solicitar la inclusión en el servicio de Lista Robinson.” En conexión con el artículo 4, el artículo 23 del Reglamento de ADIGITAL v.2008, “De la notificación de la negativa al tratamiento”, decía: “En aplicación de lo dispuesto en el artículo 4, las entidades usuarias del servicio, seleccionadas por los interesados, se obligan a ponerse en contacto con los mismos a través de la dirección de correo electrónico que aquéllos hayan facilitado a ADIGITAL con la finalidad de atender su solicitud.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/59 El Reglamento v.2008 que la reclamada aporta dejó de estar vigente con la aprobación el 08/04/2019 de una nueva versión que lo sustituyó (en adelante, Reglamento v.2019) y cuyo texto consolidado incorpora las modificaciones efectuadas el 14/02/2020. En resumen, a diferencia del Reglamento v.2019, que sí se refiere expresamente (le dedica la sección II del Título III, artículos 32 y 33) a la “Revocación del consentimiento para comunicaciones comerciales telefónicas”, el Reglamento de ADIGITAL v. 2008, en su artículo 4, permitía a los interesados notificar su negativa a recibir llamadas comerciales de las entidades adheridas que ellos seleccionaran, fueran o no las entidades seleccionadas empresas a las que el interesado, previamente, les hubiera otorgado su consentimiento para recibir llamadas de esa naturaleza. De tal manera que a través de esa comunicación el interesado manifestaba su oposición a recibir llamadas comerciales o revocaba su consentimiento a ese tratamiento en caso de que lo hubiera otorgado previamente. 3.Inscripción de la parte reclamante en el Servicio Lista Robinson y acciones efectuadas a través de ese servicio A tenor de la documentación aportada por ADIGITAL la parte reclamante se registró el 21/05/2018 como usuaria en el Servicio de Lista Robinson y proporcionó con esa finalidad los datos de su DNI, nombre y dos apellidos, número de teléfono móvil, y dirección de correo electrónico, asignándole un código de identificación de usuario (…). En esa misma fecha la parte reclamante, identificada por el código de usuario asignado, llevó a cabo las siguientes acciones: (i)Se inscribió en el servicio de Lista Robinson para los diversos canales publicitarios pues “inscribió” una dirección postal “en el canal postal”; la dirección de correo electrónico en el “canal email”; un teléfono fijo en el “canal telefónico” y el teléfono móvil en el “canal telefónico” y en el “canal SMS”. (
14. ii)Registró en esa fecha la “Revocación del consentimiento para llamadas comerciales” a cuatro empresas siendo una de ellas la parte reclamada. La documentación de ADIGITAL menciona la operación “Revocación del consentimiento para llamadas comerciales a la empresa con ID (…) (BEEDIGITAL AI SAU, A84619485)” Siendo el “ID del usuario que realiza la acción (…)” e indica que en esa fecha “la empresa BEEDIGITAL AI SAU constaba con el nombre “PAGINAS AMARILLAS SOLUCIONES DIGITALES”.” La parte reclamante ha negado taxativamente haber sido cliente de la entidad BEEDIGITAL o haber tenido con ella alguna relación contractual y BEEDIGITAL, a preguntas del Inspector de Datos, ha negado que antes de recibir el correo electrónico de la reclamante por medio del servicio Lista Robinson hubiera tratado sus datos personales. Así pues, consta acreditado que la parte reclamante envió el 21/05/2018, por mediación del Servicio Lista Robinson, una comunicación a BEEDIGITAL (entonces PÁGINAS AMARILLAS) en la que manifestaba su negativa al tratamiento de sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/59 para recibir llamadas comerciales. En definitiva, el Servicio Lista Robinson intervino como mero vehículo transmisor de la voluntad de la reclamante de oponerse frente a la empresa destinataria, BEEDIGITAL, a recibir llamadas comerciales. Resulta de lo expuesto que, toda vez que la parte reclamante decidió voluntariamente oponerse frente a BEEDIGITAL (Páginas Amarillas entonces) a recibir llamadas publicitarias y utilizó como vehículo para el ejercicio de su derecho de oposición el mecanismo facilitado por el Servicio Lista Robinson, previsto en el artículo 4 del Reglamento v.2008 por el que se regía el servicio, la parte reclamada necesitaba continuar tratando los datos identificativos de la reclamante (y no solo los números de teléfono) para poder atender el derecho de oposición ejercitado, como así lo declara el artículo 48 del RLOPD al establecer que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo y adoptar las medidas necesarias que eviten el envío de publicidad”. Tras la plena aplicación del RGPD la base legitimadora del tratamiento efectuado por BEEDIGITAL será el artículo 6.1.
15. c)del RGPD –“el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”- en conexión con el artículo 21, apartados 2 y3 del RGPD, que disponen, respectivamente: “Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia”; “Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines” y en virtud de las obligaciones impuestas por el artículo 24 del RGPD de adoptar medidas técnicas y organizativas apropiadas a fin de garantizar que el tratamiento es conforme con el RGPD. En relación con la información proporcionada a aquellas empresas adheridas a las que el usuario decida enviar la revocación del consentimiento, ADIGITAL afirma lo siguiente: “los datos proporcionados en el correo que se envía a las empresas adheridas son los mínimos necesarios para que estas puedan identificar adecuadamente al interesado que ejerce el derecho de revocación del consentimiento, en concreto: [Nombre y Apellidos; Número de DNI; Correo electrónico; Números de teléfono inscritos en el servicio Lista Robinson para los cuales el usuario solicita la retirada del consentimiento.]” El servicio Lista Robinson actúa como mero intermediario en esta comunicación y este sistema es independiente del servicio de exclusión publicitaria, para el cual se establece un proceso pseudonimizado de consulta que garantiza que las entidades no tienen acceso a los datos de los usuarios inscritos, dado que en este caso no es necesario que la entidad establezca comunicación directa con el usuario para responder a su solicitud, al contrario de lo que sucede en el sistema de revocación del consentimiento. IV Sobre la pretendida nulidad del acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/59 Por razones de lógica argumental nos referimos en primer término a esta cuestión planteada por la parte reclamada que, siendo ajena al fondo del asunto sobre el que versa el procedimiento sancionador, de prosperar, haría inútil el examen de las infracciones imputadas. La reclamada solicita que se declare la “nulidad de pleno derecho del acuerdo de inicio” al amparo de los artículos 47.1.
16. a)y 47.1.
17. c)de la LPACAP por “vulneración del plazo legal para formular alegaciones” “al verse menguado por causas atribuibles únicamente a la Administración.” (El subrayado es nuestro) Manifiesta que la copia del expediente que había solicitado fue entregada “por la Administración 3 días hábiles antes de la finalización del plazo concedido, incluyendo su ampliación.” “En resumen, un breve plazo de diez días, ampliado a quince, ha sido reducido por la inadecuada actuación administrativa infringiendo así los arts. 29; 63.2 y 64 de la LPACAP y el art. 25.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, “LRJSP”).” El artículo 47.1 de la LPACAP, “Nulidad de pleno derecho”, dispone: 1. Los actos de las Administraciones Públicas son nulos de pleno derecho en los casos siguientes:
18. a)Los que lesionen los derechos y libertades susceptibles de amparo constitucional.
19. b)Los dictados por órgano manifiestamente incompetente por razón de la materia o del territorio.
20. c)Los que tengan un contenido imposible.
21. d)Los que sean constitutivos de infracción penal o se dicten como consecuencia de ésta.
22. e)Los dictados prescindiendo total y absolutamente del procedimiento legalmente establecido o de las normas que contienen las reglas esenciales para la formación de la voluntad de los órganos colegiados.
23. f)Los actos expresos o presuntos contrarios al ordenamiento jurídico por los que se adquieren facultades o derechos cuando se carezca de los requisitos esenciales para su adquisición.
24. g)Cualquier otro que se establezca expresamente en una disposición con rango de Ley.” (El subrayado es nuestro) Por lo que respecta al primer motivo de nulidad invocado - artículo 47.1 letra
25. a)LPACAP- destacamos que la reclamada no ha especificado qué derecho fundamental susceptible de amparo constitucional considera lesionado por esta Agencia. Ante la falta de concreción sobre el derecho presuntamente vulnerado, a la vista de su alegato, estimamos que se refiere al derecho de defensa reconocido en el artículo 24.2 de la Constitución Española (CE), precepto que dispone: <<2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia.>> En respuesta a lo invocado de contrario han de hacerse dos precisiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/59 Por lo que atañe a los hechos acontecidos, es preciso destacar que, pese a que la reclamada afirma que se ha vulnerado el plazo legal para formular alegaciones debido a que ha quedado menguado “por causas atribuibles únicamente a la Administración”, lo cierto es que su solicitud de acceso al expediente se hizo ocho días después de la fecha en la que le fue notificado el acuerdo de apertura. BEEDIGITAL aceptó la notificación del acuerdo de inicio en fecha 19/02/2024 (folio 343) y la petición de entrega de una copia del expediente se presentó en la Agencia en fecha 27/02/2024 (folios 354 a 357) y no, como sostiene esa entidad, cuando solicitó que se ampliara el plazo de alegaciones, petición que dirigió a esta Agencia el 21/02/2024. BEEDIGITAL había solicitado en escrito de fecha 21/02/2024 la ampliación del plazo para formular alegaciones al acuerdo de apertura. En escrito de fecha 22/02/2024, cuya notificación fue aceptada por BEEDIGITAL el mismo día 22/02/2024, a las 11.15 horas, (folio 352) el órgano instructor acordó ampliar el plazo por el máximo permitido legalmente, 5 días (folios 348 a 353) Resulta especialmente relevante examinar el escrito que presentó la entidad solicitando la ampliación del plazo de alegaciones (folios 348 y 349), habida cuenta de que su lectura permite verificar que, frente a lo que ella mantiene, en tal escrito no solicitaba a esta Agencia la entrega de la copia del expediente sino, única y exclusivamente, “la ampliación de plazo para alegaciones en el procedimiento sancionador EXP202301080”. BEEDIGITAL afirma en el escrito de fecha 27/02/2024 -en el que pide por vez primera que se le haga entrega de la documentación - que, además de la ampliación del plazo de alegaciones, había solicitado la entrega del expediente por lo que “reitera” tal petición. Nos remitimos al folio 357, que corresponde al precitado escrito de 27/02/2024, en el que la parte reclamada expone: “I.- Que, con fecha 19 de febrero de 2024, nos ha sido notificado Acuerdo de Inicio de Procedimiento Sancionador, en el expediente de referencia, concediendo el plazo de diez días para formular alegaciones y presentar las pruebas que se consideren convenientes. II.- Que, no obstante, en atención a la complejidad del objeto de dicho expediente, se solicitó se comunicara el expediente completo y se ampliara el plazo concedido. III.- Que, en fecha 23 de febrero, se ha recibido notificación de concesión de ampliación de plazo, pero no se ha comunicado el expediente, es por ello que, por el presente, se reitera”. (El subrayado es nuestro) Además de solicitar la copia del expediente, la reclamada añadió: “Asimismo, esta administrada entiende que el cómputo del plazo concedido no debería comenzar a contar hasta el momento de recepción del expediente reclamado a fin de no ver limitado su derecho.” (El subrayado es nuestro) La copia del expediente se envió en fecha 05/03/2024 siendo recibida por BEE DIGITAL el mismo día. Teniendo en cuenta que el acuerdo de inicio se notificó el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/59 19/02/2024 y que el plazo de alegaciones, una vez ampliado, era de 15 días hábiles, finalizó el día 11/03/2024. De la exposición precedente se concluye, de una parte, que la reclamada dirigió su solicitud de entrega de la copia del expediente a la Agencia 8 días naturales después de la notificación del acuerdo de inicio y que dispuso de 5 días hábiles y 7 días naturales para el examen de la documentación desde que la recibió, el día 05/03/2024 a las 11:28 horas. Por otra parte, no puede obviarse que la casi totalidad de la documentación que integra el expediente fue aportada por la propia entidad reclamada y que la que facilitó ADIGITAL también era de su conocimiento. Cabe añadir, además, que, a tenor del artículo 76 de la LPACAP, “Los interesados podrán, en cualquier momento del procedimiento anterior al trámite de audiencia, aducir alegaciones y aportar documentos u otros elementos de juicio. Unos y otros serán tenidos en cuenta por el órgano competente al redactar la correspondiente propuesta de resolución.” Sin embargo, en el periodo transcurrido hasta que se formula la presente propuesta de resolución la parte reclamada no ha aportado documentos ni ha hecho nuevas alegaciones en su defensa, pese a haber podido analizar detenidamente la documentación. Así pues, la pretensión de la reclamada de que se declare la nulidad del procedimiento amparada en la vulneración del derecho de defensa - artículo 47.1.
26. a)LPACAP- no puede prosperar por razones evidentes. Desde el punto de vista del artículo 24 de la C.E. la indefensión tiene un carácter material. La indefensión con trascendencia jurídico-constitucional se produce solo cuando el interesado se ve, de forma injustificada, imposibilitado para impetrar la protección judicial de sus derechos e intereses legítimos o cuando la vulneración de las normas procesales o procedimentales lleva consigo la privación del derecho a la defensa, con el consiguiente perjuicio real y efectivo para los intereses del afectado, al quedar privado de su derecho a alegar, probar y, en su caso, para replicar las argumentaciones contrarias (STC 31/1984, de 7 de marzo, STC 48/1984, de 4 de abril, STC 70/1984, de 11 de junio, STC 48/1986, de 23 de abril, STC 155/1988, de 22 de julio, y STC 58/1989, de 16 de marzo, entre otras muchas). En definitiva, como reiteradamente ha precisado el Tribunal Constitucional, para que pueda apreciarse la existencia de indefensión no resulta suficiente con que se haya producido una infracción formal, sino que ha de haberse producido una indefensión de carácter material. En STC 290/1993, fundamento jurídico 4, dice: “ Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/59 El segundo motivo en el que BEEDIGITAL sustenta su pretensión de nulidad del “acuerdo de inicio” es el artículo 47.1.
27. c)de la LPACAP: “
28. c)Los que tengan un contenido imposible.” La reclamada no ha explicado cuál es la imposibilidad que permite apreciar ese motivo de nulidad. Por otra parte, la mención que hace en su exposición sobre la nulidad a los artículos 29, 63.2 y 64 de la LPACAP y al artículo 25.1 de la LRJSP, nos lleva a considerar que, tal vez, la causa de nulidad a la que habría querido referirse no es la descrita en la letra
29. c)del artículo 47.1. LPACAP, sino la descrita en su letra e): “Los dictados prescindiendo total y absolutamente del procedimiento legalmente establecido”. En tal caso, el exponente de que la Agencia habría prescindido “total y absolutamente” del procedimiento legalmente establecido sería el incumplimiento de las siguientes disposiciones: -El artículo 29 de la LPACAP, “Obligatoriedad de términos y plazos”: Los términos y plazos establecidos en ésta u otras leyes obligan a las autoridades y personal al servicio de las Administraciones Públicas competentes para la tramitación de los asuntos, así como a los interesados en los mismos. -El artículo 63.2. LPACAP, que dice: En ningún caso se podrá imponer una sanción sin que se haya tramitado el oportuno procedimiento. -El artículo 64 de la LPACAP, “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora.” -El artículo 25 de la LRJSP, “Principio de legalidad”, “1. La potestad sancionadora de las Administraciones Públicas se ejercerá cuando haya sido expresamente reconocida por una norma con rango de Ley, con aplicación del procedimiento previsto para su ejercicio y de acuerdo con lo establecido en esta Ley y en la Ley de Procedimiento Administrativo Común de las Administraciones Públicas y[…] Hay que comenzar indicando que no es posible entender cómo puede haberse vulnerado el artículo 64 de la LPACAP si la tesis que defiende BEEDIGITAL es que la actuación que desencadena la pretendida nulidad se habría producido con posterioridad a la notificación del acuerdo de inicio. Por otra parte, el artículo 25.1 de la LRJSP y el 63.2 de la LPACAP son expresión de la exigencia del principio de legalidad procesal y la única norma procesal que se cita es el artículo 29 de la LPACAP, pero, como se expuso al hacer referencia a los hechos, en el presente procedimiento la Agencia no ha incumplido los plazos impuestos por la Ley. Cabe mencionar, al hilo de lo expuesto, la SAN, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25/06/2009 (Rec. 638/2008) que se hace eco de la doctrina del T.C. sobre los defectos de procedimiento: “[…]esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/59 Por las razones expuestas, la pretensión de la reclamada de que se declare la nulidad “del acuerdo de inicio” debe ser rechazada. V Sobre otras cuestiones invocadas por BEEDIGITAL 1.-En su escrito de alegaciones al acuerdo de inicio BEEDIGITAL alega que “el ámbito sobre el que versa la reclamación” nada tiene que ver con las cuestiones que han sido analizadas por la Agencia, ni tampoco con el objeto del procedimiento sancionador que nos ocupa. Considera que la AEPD “ha abierto un procedimiento sancionador completamente novedoso”, dejando en el olvido las cuestiones planteadas en la reclamación y desviando su atención hacia la gestión que BEEDIGITAL ha hecho de la brecha de seguridad. En respuesta a este alegato traemos a colación la STS, Sala de lo ContenciosoAdministrativo, Sección Tercera (Casación 2960/2023), de fecha 11/11/2024, en la que la cuestión que presenta interés casacional objetivo para la formación de la jurisprudencia sobre la que se pronuncia consiste en interpretar los artículos 57 y 58.2 del RGPD y 63, 64 y 65 de la LOPDGDD, “a fin de determinar si, presentada una reclamación ante la Agencia Española de Protección de Datos, la actuación de ésta queda vinculada al contenido de dicha reclamación, en concreto a los hechos objeto de reclamación y a su encaje y tipificación en los tipos descritos en la norma, o si puede tramitar y resolver el procedimiento sancionador al margen de las causas y los hechos en los que se fundan las reclamaciones presentadas.” El pronunciamiento de la citada sentencia es extrapolable a la cuestión suscitada por la parte reclamada y conduce a su desestimación. En el Fundamento Jurídico Tercero dice: “La Agencia Española de Protección de Datos, en la incoación, tramitación y resolución de un procedimiento sancionador, puede abordar cuestiones fácticas y jurídicas conexas o relacionadas con los hechos y argumentos recogidos en la reclamación que da origen al procedimiento. Y, más específicamente, en el curso de un procedimiento sancionador iniciado a raíz de una o varias reclamaciones en materia de protección de datos personales, cuando se aprecie que las infracciones singulares denunciadas tienen sus origen común en un documento o instrumento de alcance general que define la política de la entidad en materia de protección de datos, la AEPD puede, y aún debe, hacer objeto del procedimiento sancionador a ese mismo documento que alberga la política de privacidad de la entidad responsable, a fin de examinarlo, detectar sus posibles carencias o deficiencias, y adoptar, en consecuencia, las medidas que resulten necesarias en el seno del propio procedimiento sancionador; en el bien entendido de que de todo ello habrá de darse conocimiento al sujeto del expediente, de manera que durante la tramitación del procedimiento pueda este tener ocasión de formular alegaciones y, en su caso, proponer pruebas, sin que en ningún caso pueda producirse indefensión.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/59 2.- BEEDIGITAL invoca también en sus alegaciones al acuerdo de inicio que los principios de seguridad jurídica y confianza legítima se han visto afectados debido a que el acuerdo de inicio del procedimiento “contradice la previa actuación de la propia Administración”. En ese sentido, afirma: (
30. i)que la Agencia tuvo ocasión de valorar (…).” Reproduce un fragmento del escrito que le notificó la (…) de datos personales y, sin perjuicio del curso de otros procedimientos, no están previstas más acciones por parte de esta División con relación a este acto de (…) de datos personales.» Por lo que respecta a la pretendida vulneración del principio de confianza legítima que BEEDIGITAL concreta en que, habiendo recibido una respuesta de DIT, esta Agencia procedió posteriormente, respecto a esos mismos hechos, a practicar actuaciones de investigación y a acordar la apertura de un expediente sancionador frente a ella, debemos señalar lo siguiente: El escrito que la DIT remite a BEEDIGITAL no tiene carácter decisorio. No lo tiene por su contenido, pues es más bien un “acuse de recibo” (…) en el que la AEPD no ha valorado si concurría responsabilidad por un posible incumplimiento de la normativa de protección de datos. Tampoco tiene carácter decisorio por su forma, pues no incorpora una decisión, ni mucho menos una resolución de archivo de actuaciones como parece sugerir BEEDIGITAL, cuya competencia hubiera correspondido en tal caso -en esa fecha- a la Directora de la Agencia -actualmente a la Presidencia de la Agencia-. El escrito que la DIT remite a BEEDIGITAL está encaminado a poner en su conocimiento la recepción de la notificación de (…), de acuerdo con el artículo 31.
31. d)del Estatuto de la Agencia, aprobado mediante Real Decreto 389/2021, de 1 de junio (en adelante el Estatuto) sin que pueda deducirse a la vista del mismo que la AEPD hubiera valorado y decidido que no concurría responsabilidad por un supuesto incumplimiento de la normativa de protección de datos. Además, la DIT informa a BEEDIGITAL de que por esa División “no están previstas” más acciones advirtiéndole, “sin perjuicio del curso de otros procedimientos”. Así, el artículo 13 del Estatuto determina las funciones de la Presidencia de la Agencia y dispone: “1. Corresponde a la Presidencia de la Agencia Española de Protección de Datos: […]
32. d)Dictar las resoluciones y directrices que requiera el ejercicio de las funciones de la Agencia, en particular las derivadas del ejercicio de las competencias previstas en el artículo 57 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y del ejercicio de los poderes de investigación y de los poderes correctivos dispuestos en el artículo 58 del citado Reglamento. “ El artículo 57 del RGPD, “Funciones”, establece en su letra
33. h)que: “1. Sin perjuicio de otras funciones en virtud del presente Reglamento, incumbirá a cada autoridad de control, en su territorio: […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/59
34. h)llevar a cabo investigaciones sobre la aplicación del presente Reglamento, en particular basándose en información recibida de otra autoridad de control u otra autoridad pública”. En cuanto a las funciones de la Subdirección General de Inspección de Datos de la AEPD, el artículo 27 del Estatuto indica en su apartado 1: “La Subdirección General de Inspección de Datos es el órgano administrativo, dependiente de la Presidencia de la Agencia Española de Protección de Datos, que desarrolla las competencias previstas en el artículo 57.1, letras f), g), h),
35. i)y
36. u)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y realiza las funciones de inspección y de instrucción necesarias para el ejercicio de los poderes de investigación establecidos en el artículo 58.1, letras a), b), d),
37. e)y
38. f)y de los poderes correctivos dispuestos en el artículo 58.2, letras a), b), c), d), f), g),
39. i)y j), ambos del citado Reglamento” Y en el apartado 2 del artículo 27 se enumeran las funciones que corresponden a la Subdirección General de Inspección de Datos de Datos, entre las que se encuentran, por lo que aquí interesa, las siguientes: “
40. a)La supervisión permanente del cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, de la Ley Orgánica 3/2018, de 5 de diciembre, y de las disposiciones que la desarrollen, por parte de los responsables y encargados de los tratamientos. […]
41. b)El ejercicio de las potestades de investigación definidas en el artículo 51 de la Ley Orgánica 3/2018, de 5 de diciembre. […]
42. d)La tramitación de los procedimientos en caso de posible vulneración de la normativa de protección de datos conforme a lo dispuesto en el título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, incluyendo las reclamaciones de los ciudadanos por falta de atención en sus solicitudes de ejercicio de los derechos contemplados en los artículos 15 al 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Corresponde a la Subdirección General de Inspección de Datos el deber de informar al reclamante sobre el curso y el resultado de la reclamación presen-tada ante la Agencia Española de Protección de Datos, de acuerdo con lo dispuesto en el artículo 77.2 del citado Reglamento.” En consecuencia, para proceder al archivo de unas actuaciones de investigación se requiere, primero, que éstas se hayan iniciado -bien por haberse admitido a trámite una reclamación, bien por iniciativa propia- lo cual en ambos casos exige una resolución expresa firmada por la Directora, lo que no había acaecido en el momento de emitirse el referido escrito de la DIT . Y, en segundo lugar, es necesario de nuevo una resolución expresa por parte de la Directora -en la actualidad, presidencia- archivando dichas actuaciones, por entender, ahora sí, que, de la información recabada en esas investigaciones, no se concluye la existencia de infracción en la normativa de protección de datos, lo cual tampoco se produjo en este caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/59 Lo que ha ocurrido en el presente caso es que se presentó una reclamación por una persona afectada (…): “Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” En relación con las actuaciones previas de investigación, el artículo 67 de la LOPDGDD dispone: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2 Las actuaciones previas de investigación se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa.” De dicha normativa no se infiere que la AEPD tenga que justificar la manera en que se inician las actuaciones previas. Las actuaciones previas de investigación se realizan para esclarecer los hechos y las circunstancias de lo acontecido, recabando más información al objeto de poder determinar la existencia o no de una posible infracción de la normativa en materia de protección de datos. El inicio de investigaciones previas y su realización -potestad de la AEPD con o sin reclamación- no prejuzga nada, sino que permite recabar la información necesaria para determinar si hay indicios o no de infracción. Incluso tras dicha investigación, puede ser que se archiven las actuaciones por entender, a la vista de la información recabada, que no concurren los elementos necesarios para la apertura de un procedimiento sancionador. Lo cual, en el presente caso, tampoco ha sucedido. La normativa sí indica que, tras la presentación de reclamaciones, esta Agencia debe decidir si las admite a trámite o no. En el presente supuesto se admitió a trámite la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/59 reclamación mediante Acuerdo de admisión a trámite firmado por la Directora de la Agencia. Y, como indica el artículo 67.2 LOPDGDD, la AEPD puede llevar a cabo actuaciones previas de investigación. Lo que aconteció en este caso a fin de lograr una mejor determinación de los hechos y las circunstancias. Es una potestad que tiene atribuida a la AEPD por el RGPD y por la LOPDGDD. A mayor abundamiento, incluso en la hipótesis de no haber existido reclamación de la afectada, el escrito de la DIT cuestionado tampoco hubiera sido óbice para el ejercicio de las potestades de investigación que tiene la AEPD, de conformidad con el citado artículo 64.2, que determina que “Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación.” Por último, por lo que atañe al principio de confianza legítima que BEEDIGITAL estima vulnerado, es esclarecedor el criterio seguido por la Sala de lo Contencioso Administrativo del Tribunal Supremo, del que se hace eco la SAN de 17/03/2016 (Rec. 358/2013), según el cual dicho principio no puede jugar contra el principio de legalidad, consagrando estados de confrontación con normas imperativas. El Fundamento Jurídico quinto de la SAN precitada de 17/03/2016 dice: “Citando la jurisprudencia de la Sala Tercera del Tribunal Supremo, al respecto; entre otras muchas, la reciente sentencia de 24 de noviembre de 2015 (recurso de casación 1159/2014 ), dicho principio no puede jugar contra el principio de legalidad, consagrando estados de confrontación con normas imperativas. << El segundo motivo de casación considera errónea la aplicación por la Sala de instancia del principio general del Derecho que protege la confianza legítima, positivizado en el artículo 3.1 de la Ley 30/1992 -LRJPAC-, principio que guarda relación directa con aquél otro de que nadie puede ir contra sus propios actos, condensado en el aforismo latino venire contra factum proprium non valet y, además, con los de buena fe y seguridad jurídica, dentro del ámbito del deber de servicio de las Administraciones Públicas, con objetividad, a los intereses generales, con sometimiento pleno a la Ley y al Derecho ( art. 103 de la Constitución Española ). Como declara la sentencia de este Tribunal Supremo de 5 de junio de 2001 (recurso de casación nº 4235/1995 ): "[...] tanto la doctrina del Tribunal Constitucional como la Jurisprudencia de este Tribunal considera que el principio de buena fe protege la confianza que fundadamente se puede haber depositado en el comportamiento ajeno e impone el deber de coherencia en el comportamiento propio. Lo que es tanto como decir que dicho principio implica la exigencia de un deber de comportamiento que consiste en la necesidad de observar de cara al futuro la conducta que los actos anteriores hacían prever y aceptar las consecuencias vinculantes que se desprenden de los propios actos, constituyendo un supuesto de lesión a la confianza legítima de las partes. Ahora bien, este principio no puede invocarse para crear, mantener o extender, en el ámbito del Derecho público, situaciones contrarias al ordenamiento jurídico, o cuando del acto precedente resulta una contradicción con el fin o interés tutelado por una norma jurídica que, por su naturaleza, no es susceptible de amparar una conducta discrecional por la Administración que suponga el reconocimiento de unos derechos u obligaciones que dimanen de actos propios de la misma. O, dicho en otros términos, la doctrina invocada de los "actos propios" sin la limitación que acaba de exponerse podría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/59 introducir en el ámbito de las relaciones de Derecho público el principio de la autonomía de la voluntad como método ordenador de materias reguladas por normas de naturaleza imperativa, en las que prevalece el interés público salvaguardado por el principio de legalidad; principio que resultaría conculcado si se diera validez a una actuación de la Administración contraria al ordenamiento jurídico por el sólo hecho de que así se ha decidido por la Administración o porque responde a un precedente de ésta, lo que no ha sucedido en la cuestión examinada.” (El subrayado es nuestro) Por lo expuesto, este alegato de BEEDIGITAL debe también rechazarse ya que la Agencia ha actuado en cumplimiento de las obligaciones que imperativamente le impone (ex artículo 57.1. RGPD) su normativa reguladora. VI Obligación incumplida: infracción del artículo 5.1.
43. f)del RGPD 1.-Se imputa a BEEDIGITAL en esta propuesta de resolución una infracción del principio de confidencialidad establecido en el artículo 5.1.
44. f)del RGPD. El artículo 5 RGPD, bajo la rúbrica “Principios relativos al tratamiento”, dice: “1.Los datos personales serán:
45. a)[…]
46. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2.El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” De acuerdo con la norma transcrita el responsable del tratamiento está obligado a tratar los datos personales de tal modo que garantice una seguridad adecuada, “incluida la protección contra el tratamiento no autorizado o ilícito” mediante la aplicación de medidas técnicas u organizativas apropiadas. Diversos considerandos del RGPD se refieren