← España

PS-00422-2019

1/12  Procedimiento Nº: PS/00422/2019 938-0419 - RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00422/2019, instruido por la Agencia Española de Protección de Datos, a la entidad EL PERIODICO DE CATALUNYA, S.L. con CIF: B66485343, con C.I.F.: A80907397, (en adelante, “la entidad reclamada”), vista la denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 09/06/19, tuvo entrada en esta Agencia, escrito presentado por el reclamante, en el que exponía, entre otras, lo siguiente: “La presente reclamación hace referencia al expediente E/07525/2018: En fecha 19/09/18, se registró en la AEPD mi petición para la eliminación de mis datos en dicho sitio web (https://www.elperiodico.com). En respuesta a mi petición, el pasado 09/04/19 recibí resolución de la Agencia indicando que el sitio web referido procedió al borrado de mis datos. Lamentablemente, el pasado 02/05/19, recibí otra comunicación comercial por parte del citado sitio web, en forma de correo electrónico con el asunto "Claves electorales. Las consecuencias del 28-A". Se aporta, entre otras, la siguiente documentación: a).- De fecha 02/04/19, Correo electrónico enviado desde el GRUPO ZETA, arequena@elperlodlco.es ; asunto: Reclamación Agencia Española Protección de Datos; Para: ***EMAIL.1 , donde se indica, entre otras: “Le comunicamos que una vez recibida con fecha 16/10/18 la reclamación cursada por Vd. a través de la Agenda Española de Protección de Datos, en la que reclamaba la eliminación de sus datos personales, su petición fue atendida en los días siguientes y se comunicó a la AEPD. Nuevamente hemos recibido notificación de la AEPD para que se lo comuniquemos personalmente a través del email facilitado en su reclamación. (…) En cualquier caso le informamos que, una vez recibida la solicitud a través de la AEPD, hemos atendido de forma inmediata su petición. El pasado día 22/10/

  1. El Periódico de Catalunya, S.L. procedió a cancelar y suprimir definitivamente todos sus datos personales”. b).- De fecha 06/04/19, Resolución de Archivo de la AEPD del Expediente Nº: E/07525/2018, indicando en la misma, entre otras, que: “(…) En respuesta a dicho requerimiento, se ha recibido en esta Agencia escrito de EL PERIODICO DE CATALUNYA, S.L. que por lo que aquí interesa manifiesta lo siguiente: En primer lugar indican que a causa de una incidencia puntual ocurrida en el sistema informático de El Periódico de Catalunya, S.L. duran-te el pasado mes de septiembre, no se trasladó correctamente al departaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 mento correspondiente la solicitud de eliminación de datos personales efectuada por el reclamante y que lamentan esta circunstancia que fue posteriormente subsana-da. Añaden que una vez recibida la solicitud a través de la AEPD han atendido de forma inmediata la petición del reclamante. El pasado día 22 de octubre de 2018 El Periódico de Catalunya, S.L. procedió a cancelar y suprimir definitivamente todos los datos personales del reclamante. (…) En este caso, una vez analizadas las razones expuestas por EL PERIODICO DE CATALUNYA, S.L., que obran en el expediente, se considera que no procede el inicio de un procedimiento sancionador al haber sido atendida la reclamación, procediendo acordar el archivo de la reclamación examinada”. c).- De fecha 02/05/19, correo electrónico con boletín de noticias, enviado desde ELPERIODICO.COM webmaster@elperiodico.com ; y Asunto: Las consecuencias del 28A dirigido a la dirección de correo del reclamante”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 25/07/19 y 07/08/19, se dirige sendos requerimientos informativos a la entidad reclamada. TERCERO: Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado a la entidad reclamada, con fecha 25/07/19, y puesta a disposición el 28/07/19 a través del servicio de Notific@, resultó rechazado, con fecha 05/08/
  2. Según certificado de la Sociedad Estatal de Correos, la notificación enviada a la sociedad reclamada, con fecha 07/08/19, a través del servicio SICER, a la dirección: C/ Consell de Cent 425-427, 08009 Barcelona, resultó entregada el 09/08/19, siendo la persona receptora de la misma B.B.B.. ***NIF.1 CUARTO: Con fecha 09/08/19, la entidad reclamada, remite a esta Agencia, la siguiente notificación: “apreciados señores, rogamos envíen duplicado de la siguiente notificación con los siguientes datos identificativos: enviada por la aepd: - que a través de dicho servicio se envió la notificación: referencia: 18577595d397c8ee6c31 administración actuante: agencia española de protección de datos (AGPD) titular: el Periódico de Catalunya SL - b66485343 asunto: "notificación disponible en la carpeta o del del titular indicado" con el siguiente resultado: fecha de puesta a disposición: 28/07/2019 05:00:28” QUINTO: Con fecha 09/10/19, se dicta Acuerdo de Admisión a Trámite de la denuncia presentada por el reclamante el 09/06/19, al no haber recibido en esta Agencia ningún tipo de documentación ni información a los requerimientos enviados a la entidad reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 SEXTO: Con fecha 14/10/19, la Subdirección General de Inspección de Datos procedió nuevamente a enviar requerimiento informativo a la entidad reclamada. SÉPTIMO: Con fecha 31/10/19, la entidad reclamada, envía a esta Agencia, escrito de alegaciones, en las cuales indica que: “El día 29/10/19, EPC recibió nuevamente la reclamación y solicitud de información formulada por reclamante ante la A.E.P.D., sobre el derecho de cancelación y supresión de sus datos personales. Que en dicha notificación se ha concedido a esta parte un plazo de diez

(10)días para aportar la información que corresponda. Que, esta parte formula la siguiente ALEGACIÓN: Ponemos en conocimiento de la AEPD y del reclamante que el 22 de octubre de 2018 se procedió a la eliminación de sus datos de la base de datos de marketing de EPC, tal y como se informó. No obstante, por un error entre la redacción y un proveedor externo, los datos personales del reclamante no quedaron íntegramente eliminados de una base de datos de EPC y, por ello, el reclamante recibió el boletín de noticias al que hace referencia. A día de la fecha, hemos hecho una búsqueda interna y podemos confirmar que ya han sido eliminados completamente los datos del reclamante”. OCTAVO: A la vista de los hechos denunciados, de la documentación aportada por las partes y de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos consideró que la actuación de la entidad reclamada no cumplía las condiciones que impone la normativa en vigor, por lo que procede la apertura de un procedimiento sancionador. Así, con fecha 29/11/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos por infracción de los artículos 6 del RGPD, sancionable conforme a lo dispuesto en el art.
  1. NOVENO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 20/12/19, formuló, en síntesis, las siguientes alegaciones: “Tras un inicial, ”Traslado de reclamación y solicitud de información”, (N/Ref: E/07525/2018), recibido el día 16 de octubre de 2018, en el que se requería a E.P.C. que explicara por qué no se había atendido la petición de supresión de datos personales del reclamante, E.P.C. contestó a la A.E.P.D. informando que, debido a una incidencia que se produjo en su sistema informático en el mes de septiembre de 2018, no se había podido comunicar al departamento correspondiente la petición de eliminación de datos personales que había realizado el reclamante. A su vez, en la referida respuesta, se informaba a la A.E.P.D. que, tras la recepción de aquella reclamación, E.P.C. había atendido de inmediato la petición del reclamante, habiendo procedido a la cancelación y supresión, el día 22 de octubre de 2018, de los datos personales del reclamante de que disponía. Un año más tarde, en concreto el día 29 de octubre de 2019, se recibió en E.P.C, un nuevo ”Requerimiento y solicitud de información" de la A.E.P.D. en el que se nos inforC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 maba de que, a pesar de haber sido cancelados los datos personales del reclamante, éste había vuelto a recibir boletines de noticias en la misma dirección electrónica en la que recibía los correos originales. Después de la sorpresa inicial, y tras una exhaustiva investigación interna para averiguar qué había podido suceder, EPC comprobó que, efectivamente, tal y como había sido debidamente informado a la AEPD, un año antes, esta es, el 22 de octubre de 2018, si se habían cancelado y suprimido los datos personales del reclamante de la base de datos de que disponía el departamento de marketing de EPC. Sin embargo, se descubrió que, por un error de coordinación entre la redacción de El Periódico y un proveedor externo, los datos personales del reclamante no habían quedado totalmente eliminados de una base de datos de E.P.C., motivo por el que el reclamante había seguido recibiendo el boletín del que se quería darse de baja. Resulta evidente que tal cúmulo de circunstancias, errores y casualidades, las cuales resultan casi incomprensibles que se den todas juntas, son o han sido totalmente ajenas a la voluntad de E.P.C., compañía mercantil que no tiene el menor interés en molestar o perjudicar al reclamante ni a ninguna otra persona, y que trata de atender puntualmente todas aquellas solicitudes de cancelación y supresión de datos que periódicamente recibe. De hecho, la actitud llevada a cabo por E.P.C. en todo el proceso descrito ha sido siempre la de actuar de buena fe, tratando en todo momento de atender la petición efectuada por el reclamante, si bien, por las circunstancias y errores involuntarios anteriormente expuestos, ello no ha sido posible hasta el pasado octubre de
  2. En cualquier caso, en la respuesta emitida por EPC en fecha 31 de octubre de 2019, E.P.C. informaba a la A.E.P.D. de que, tras una búsqueda y comprobación interna, se había podido confirmar que finalmente ya se habían cancelado y suprimido definitivamente todos los datos personales del reclamante. Una vez eliminados definitivamente por E.P.C. los datos personales del reclamante de sus bases de datos, la A.E.P.D. notifica a E.P.C., en fecha 5 de diciembre de 2019, el acuerdo de inicio de un procedimiento sancionador, con número de referencia PS / 00422/
  3. Dicho con el debido respeto, no entendemos ni compartimos por qué, una vez solucionado el problema y habiendo expuesto en todo momento los motivos y circunstancias que explican el porqué, el reclamante siguió recibiendo durante un tiempo los boletines informativos, se acuerda el inicio del presente procedimiento sancionador Como ha sido expuesta de forma honesta, sincera y transparente en cada uno de los requerimientos recibidos de la A.E.P.D., la compañía E.P.C. tuvo siempre la voluntad de atender la solicitud de cancelación de datos del reclamante si bien, por las circunstancias descritas y ya conocidas, ello no ha sido posible hasta el pasado mes de octubre de
  4. Debemos apuntar, en este sentido, que la compañía mercantil E.P.C. forma parte de GRUPO ZETA, grupo editorial que ha sido adquirido, en mayo de este año 2019, por otro importante grupo de comunicación, lo que podría ayudar a entender que se hayan podido producir algunos desajustes en el proceso de integración de ambos grupos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 En cualquier caso, entendemos que no hubo por parte de E.P.C. una actitud negligente en su actuación, sino que se dieron un cúmulo de errores y circunstancias desafortunadas (alguno de ellos ni siquiera imputable a E.P.C.) que llevaron a que la solicitud del reclamante no fuera debidamente atendida en un primer momento, circunstancia que, como hemos apuntado, ya ha sido subsanada. Obviamente, no estando de acuerdo con el inicio del presente procedimiento sancionador tampoco podemos compartir, en modo alguno, la hipotética sanción de multa de 25.000 euros, elevadísima cantidad que consideramos fuera de lugar por las circunstancias que concurren en el presente caso. Se solicita se acuerde el archivo del presente procedimiento sancionador”. DÉCIMO: Con fecha 15/01/20, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/9586/2019 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00422/2019, presentadas por la entidad denunciada. UNDÉCIMO: Con fecha 29/03/20, se procede a realizar la Propuesta de Resolución en la cual se propone que, por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad, EL PERIODICO DE CATALUNYA SL., por infracción del artículo 6 del RGPD, considerada como “muy grave”, a efectos de prescripción de la misma, en el artículo 72.1.b de la LOPDGDD. con una multa de 25.000 (veinticinco mil euros), de conformidad con lo establecido en el artículo 58.2) del citado RGPD. DUODÉCIMO: Con fecha 26/06/20, la entidad reclamada presenta escrito de alegaciones a la propuesta de resolución, en el cual, entre otras, indica: “Una vez recibida la notificación, da traslado urgente a su departamento jurídico y técnico, así como a su nueva delegada de protección de datos, tomando las medidas protocolarias y de seguridad necesarias para dar respuesta con carácter urgente. La decisión adoptada por los departamentos involucrados respecto a esta reclamación fue la de responder en tiempo y forma a la AEPD, así como determinar, en la medida de lo posible, la situación que nos ha traído hasta este punto, de la que no tenía constancia alguna la nueva delegada de protección de datos. Por todo ello, hemos invertido estos días no solo en dar una pronta respuesta sino también en verificar internamente lo constatado por la Agencia. Asimismo, queremos dejar constancia de que durante el tiempo en el que se mantuvieron, por un error interno involuntario, los datos del afectado, en ningún momento y bajo ninguna circunstancia, se realizó un uso fraudulento de los mismos, no se suministraron datos a terceros ni se obtuvo beneficio económico alguno de ellos. Tal como manifiesta el propio reclamante en su denuncia ante la AEPD de fecha 9 de junio de 2019, se ha constatado el envío no autorizado de una única comunicación comercial por parte de E.P.C., habiéndose determinado en la investigación interna que no fue más que un incidente puntual e involuntario, al habérsele remitido una única C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 comunicación una vez que ya se había dado la orden de borrar y suprimir los datos personales del reclamante de la base de datos de usuarios de El Periódico de Catalunya sin que se trataran los datos del reclamante en ninguna otra ocasión. No obstante, lamentamos enormemente este error y reiteramos que E.P.C. no desea ni tiene intención ni interés en causar perjuicios o molestias al reclamante ni a ningún otro usuario y para ello trabajamos a diario para mejorar y atender diligentemente todas las solicitudes de supresión de datos que recibimos. De hecho, la actitud de E.P.C. ha sido en todo momento la de actuar de buena fe, tratando de atender la incidencia de la forma más correcta y diligente posible, con la intención de salvaguardar la intimidad del denunciante en todo momento. Rogamos que también tengan en cuenta que, debido a la actividad editorial que realizamos, nos encontramos habitualmente frente a una ingente cantidad de peticiones de ejercicios de derechos, no solo provenientes de usuarios registrados/suscriptores sino también de terceros que solicitan ejercicios de sus derechos sobre los datos personales existentes en las noticias publicadas en hemeroteca digital del diario. Debemos señalar que procuramos facilitar a todos los solicitantes el ejercicio de sus derechos, procurando su satisfacción y sin que hayamos tenido hasta ahora, afortunadamente, incidentes relevantes que hayan ocasionado expedientes sancionatorios por parte de esa Agencia. No obstante, aún a sabiendas de nuestra responsabilidad en este caso y asumiendo nuestro error en el caso que nos ocupa, consideramos y les rogamos tengan en cuenta lo manifestado anteriormente para la resolución de este caso, así como las medidas que hemos aplicado para evitar que esta circunstancia vuelva a ocurrir. El riesgo que conlleva el error humano siempre estará presente en el proceso. Por ello, no podemos asegurar al 100% que esta circunstancia no vuelva a suceder si recibimos una reclamación y no se da el correspondiente traslado al departamento al efecto, pero sí que les hacemos partícipes de que en nuestra entidad se han implementado nuevas medidas tanto humanas como protocolarias para reducir al mínimo este tipo de incidencias. Hemos adoptado un único protocolo para la supresión de datos personales reclamados por los afectados aunando las bases de datos de los diferentes departamentos implicados, así como implementando medidas automatizadas para solventar los problemas de diligencia que pueda ocasionar el personal. Por todo ello, indicamos que se está realizando un esfuerzo tanto económico como organizativo para resolver de manera favorable este tipo de ejercicios de derechos que consideramos de suma importancia. Asimismo, manifestamos que durante el tiempo en el que se mantuvieron erróneamente los datos del afectado E.P.C. en ningún momento y bajo ninguna circunstancia realizó un uso fraudulento de los mismos ni obtuvo beneficio económico de ellos, por lo que hemos comprobado que lo que ocurrió fue un error puntual al remitirle esa única comunicación comercial. Lamentamos enormemente este error y queremos dejar constancia de nuevo de que E.P.C. no desea causar un perjuicio o molestia al reclamante y que trabajamos a diario para mejorar y atender todas las solicitudes de supresión de datos que recibimos. Como medidas de corrección y refuerzo para que de ninguna manera vuelva a ocurrir un hecho similar en el futuro, la sociedad ha adoptado las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
  5. Se ha nombrado recientemente un nuevo Delegado de Protección de Datos, que ha sido notificado convenientemente a la AEPD.
  6. Se ha modificado el Responsable de Seguridad de datos
  7. Se va a realizar próximamente un nuevo análisis de riesgos para garantizar el nivel de seguridad adecuado y la confidencialidad, integridad y disponibilidad de los datos personales.
  8. Se impartirá al personal, y muy especialmente a los departamentos de marketing y suscripciones, un curso en materia de protección de datos recalcando el tema de la seguridad de la información, consentimiento y ejercicio de derechos, así como todo lo relativo a bases de datos y envío de comunicaciones comerciales. Error en artículo aplicado e inobservancia del principio de proporcionalidad en la sanción propuesta. Con el debido respeto, manifestamos que no tiene sentido la aplicación el artículo 71.1.a de la LOPDGDD que se indica en la propuesta de resolución debido a que dicho artículo no existe, no quedando por tanto suficientemente justificada la calificación de “infracción muy grave”, por lo que se solicita el archivo del expediente. Por otro lado, y con el mismo debido respeto, consideramos que la sanción que se propone imponer es desproporcionada en su importe y no se adecúa a la gravedad de la infracción cometida, dado que lo que se sanciona es un lapsus involuntario en el borrado de datos del reclamante y el envío de UNA SOLA NEWSLETTER que se le remitió por error involuntario y sin ánimo de incumplir la normativa de protección de datos, y sin que con ella E.P.C. haya obtenido beneficio económico de ningún tipo ni haya perjudicado al reclamante. SOLICITA que se tenga por presentado este escrito en tiempo y forma, se admita y tengan por realizadas las anteriores alegaciones con el fin de dejar sin efecto dicha propuesta de resolución y se archive en consecuencia el expediente”. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1º.- Con fecha 19/09/18 existe una primera denuncia del reclamante ante esta Agencia contra el Periódico de Catalunya, por no haber atendido éste, una solicitud de derecho de cancelación y supresión de los datos personales del reclamante, de las bases de datos de la entidad. Esta denuncia dio lugar a la apertura, en esta Agencia, del expediente E/07525/
  9. 2º.- Con fecha 16/10/18, dentro del procedimiento administrativo seguido en dicho expediente, (E/07525/2018), se dio traslado de la denuncia a la entidad reclamada. 3º.- Con fecha 30/10/18, la entidad reclamada envía escritos a esta Agencia, alegando que: “A causa de una incidencia puntual ocurrida en el sistema informático de El Periódico de Catalunya, S.L. durante el pasado mes de septiembre, no se trasladó correctamente al departamento correspondiente la solicitud de eliminación de datos personales efectuada por el reclamante. Lamentamos esta circunstancia, ajena a nuestra voC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 luntad, la cual fue posteriormente subsanada. Una vez recibida la solicitud a través de la A.E.P.D., hemos atendido de forma inmediata la petición el pasado día 22/10/18 y se procedió a cancelar y suprimir definitivamente todos los datos personales del reclamante”. 4º.- Con fecha 06/04/19, la Directora de la AEPD resuelve archivando el expediente E/07525/18, al entender que la entidad reclamada había procedido diligentemente a suprimir los datos personales del reclamante de sus bases de datos. 5º.- No obstante, dos meses después, con fecha 09/06/19, se recibe en esta Agencia una nueva denuncia del reclamante indicando que había vuelto a recibir otra comunicación comercial de la entidad reclamada. Esta nueva denuncia dio lugar a la apertura, en esta Agencia, de un nuevo expediente, E/09586/
  10. 6º.- Con fecha 31/10/19, y después de haber sido trasladada la denuncia a la entidad reclamada, ésta responde que, “por un error entre la redacción y un proveedor externo, los datos personales del reclamante no quedaron íntegramente eliminados de una base de datos de EPC y, por ello, el reclamante recibió un nuevo boletín de noticias al que hace referencia, pero que dicho error ya había sido subsanado”. 7º.- La entidad reconoce haber realizado un tratamiento ilícito de los datos personales del reclamante, pero alega que, “durante el tiempo en el que se mantuvieron erróneamente los datos del afectado, en ningún momento y bajo ninguna circunstancia realizó un uso fraudulento de los mismos, ni obtuvo beneficio económico de ellos. Lo que ocurrió fue un error puntual al remitirle esa única comunicación comercial”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, se debe recordar que, con anterioridad al presente caso, el reclamante, con fecha 19/09/18, denunció por primera vez al PERIDODICO DE CATALUNYA, ante esta Agencia, por no acceder a su solicitud de borrado de datos personales de sus bases de datos. Esta Agencia, archivó aquel expediente, en base a la respuesta que ofreció el Periódico, considerando que la reclamación había sido atendida diligentemente por parte de la entidad reclamada pues en aquel momento afirmó que: “a causa de una incidencia puntual ocurrida en el sistema informático del Periódico, no se trasladó correctamente al departamento correspondiente la solicitud de eliminación de datos personales efectuada por el reclamante pero que fue posteriormente subsanada. La entidad reclamada afirmo, en su día que: “Una vez recibida la solicitud a través de la AEPD, atendieron de forma inmediata la petición del reclamante y con fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 22/10/18 El Periódico de Catalunya, S.L. procedió a cancelar y suprimir definitivamente todos sus datos personales”. Pues bien, como se demostró unos meses después, esta incidencia no fue diligentemente subsanada por la entidad reclamada como así se aseguró en su día, pues el 02/05/19, el reclamante vuelve a recibir un correo electrónico con boletín de noticias, enviado desde webmaster@elperiodico.com, denunciando los hechos una vez más ante esta Agencia. La entidad reclamada alega, en un nuevo escrito enviado a esta Agencia el 31/10/19, que, “aunque el 22/10/18 procedió a la eliminación de los datos personales del reclamante de la base de datos de marketing de EPC, tal y como se informó, por un error entre la redacción y un proveedor externo, los datos no quedaron íntegramente eliminados de una de las bases de datos de EPC y, por ello, el reclamante recibió un nuevo boletín de noticias. Vuelve a afirmar la entidad reclamada, ahora con fecha 31/10/19, que. “hemos hecho una búsqueda interna y podemos confirmar que ya han sido eliminados completamente los datos del reclamante”. Por tanto, desde el día 22/10/18, cuando la entidad reclamada afirma, por primera vez, haber eliminado los datos personales del reclamante de sus bases de datos, hasta el 31/10/19, fecha en que la entidad reclamada vuelve a afirmar, por segunda vez, que esta vez sí ha eliminado definitivamente los datos personales del reclamante de sus bases de datos, ha pasado más de un año durante el cual, la entidad reclamada ha realizado un tratamiento ilícito de los mismo, como ha sido, en este caso, en envío de un nuevo correo electrónico a su dirección. Es clara la falta de diligencia, por parte de la entidad reclamada, en la adopción de medidas adecuadas para gestionar el tratamiento de los datos personales sus cliente, máxime si se valora que como entidad conocedora de la normativa de protección de datos le resulta exigible un especial rigor y cuidado en orden a garantizar el respeto a los derechos y principios establecidos en el RGPD y, sin embargo, su conducta no se ha ajustado, desde el punto de vista de la protección de datos, a las exigencias mínimas que derivan de su actividad, de la que se infiere un continuo tratamiento de datos personales, mostrando una ineficaz gestión en el tratamiento de los mismos y una ausencia importante en el rigor que debe poner en ello, para impedir la comisión de infracciones de similar naturaleza. Por lo que respecta a las alegaciones de la entidad reclamada en la que indica: “(…)no tiene sentido la aplicación el artículo 71.1.a de la LOPDGDD que se indica en la propuesta de resolución debido a que dicho artículo no existe (…), indicar al respecto que, en el punto “PRIMERO” de la Propuesta de Resolución, donde dice: “(…) 71.1.a de la LOPDGDD (…), debe decir: “(…) 72.1.b. de la LOPDGDD (…)”, tal y como se indica en el escrito de incoación del expediente. III Así las cosas, los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 6, del RGPD, al no cumplirse ninguna de las condiciones que se establecen en el mismo para el tratamiento de los datos personales del interesado: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 les para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño (…)”. Por su parte, el apartado b) del artículo 72.1 de la LOPDGDD considera como “muy grave”, a efectos de prescripción, el: “tratamiento de los datos personales sin que concurra alguna de las condiciones de licitud del tratamiento de datos personales establecidas en el artículo 6 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.a) del RGPD. De acuerdo con los preceptos indicados, a efectos de fijar el importe definitivo de la sanción a imponer, se considera que procede graduar de nuevo la sanción de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD. a).- Como criterios agravantes, (tenidos en cuenta, tanto en la incoación del expediente como en la propuesta de resolución): - La duración de la infracción, teniendo en cuenta que la entidad reclamada afirmó, con fecha 22/10/18, que había borrado definitivamente los datos personales del reclamante y que el 02/05/19 (6 meses después), volvió a enviar un correo electrónico al reclamante, constatándose que los datos no habían sido borrados como se afirmaba, (apartado a). - La intencionalidad o negligencia en la infracción. En el presente caso estamos ante acción negligente no intencional, (apartado b). - Las categorías de los datos de carácter personal afectados por la infracción, Los datos tratados en este caso, son de marcado carácter personal y por tanto identificadores de personas, (apartado g). - La forma en que la autoridad de control tuvo conocimiento de la infracción. En el presente caso, se ha tenido conocimiento de la infracción a través de dos denuncias presentadas por el reclamante, (apartado h). - Cualquier otro factor agravante. En el presente caso, se constata la falta de diligencia de la entidad reclamada a la hora de realizar un tratamiento de los datos personales de sus clientes, ya que, aunque afirmara rotundamente, que borraron todos los datos personales del reclamante, de sus bases de datos, esto no fue así, (apartado k). b).- como criterios atenuantes, considerados en esta resolución: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 - cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados, al constatar que la entidad reclamada intenta proceder a borrar los datos del reclamante cuando es solicitado, (apartado c). - La inexistencia de infracciones anteriores de la misma naturaleza, cometidas por la entidad reclamada (apartado e). - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos, (apartado f). De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 76.2 de la LOPDGDD: a).- Como criterios agravantes, (tenidos en cuenta, tanto en la incoación del expediente como en la propuesta de resolución): - El carácter continuado de la infracción, al estar inscritos los datos personales del reclamante, en las bases de datos de la entidad reclamada, al menos 6 meses más, desde que ésta afirmara que los datos habían sido borrados, (apartado a). - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). b).- como criterios atenuantes, considerados en esta resolución: - La inexistencia de beneficios obtenidos como consecuencia de la comisión de la infracción, (apartado c). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 6 permite fijar una sanción de 10.000 euros (diez mil euros). De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EL PERIODICO DE CATALUNYA, S.L. con CIF: B66485343, una sanción de 10.000 euros (diez mil euros), por la infracción del artículo 6) del RGPD, sancionable conforme a lo dispuesto en los art. 83 de la citada norma. SEGUNDO: NOTIFICAR la presente resolución a la entidad, EL PERIODICO DE CATALUNYA, S.L. e INFORMAR al reclamante sobre el resultado de la reclamación. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo CoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 mún de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.