← España

PS-00449-2019

1/7  Procedimiento Nº: PS/00449/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 26 de junio de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra PARTIT DELS SOCIALISTES DE CATALUNYA (PSCPSOE), con NIF G08564379 (en adelante el reclamado) Los motivos en que basa la reclamación son la recepción de una carta dirigida a un familiar del reclamante pidiendo dar apoyo político al candidato del Partido Socialista. Dicha carta iba encabezada por B.B.B., especialista en cirugía general y digestiva. El único vínculo que unía a la receptora de la carta con el citado doctor, era de paciente-profesional, y en ningún caso se había prestado el consentimiento expreso para recibir este tipo de comunicación política. SEGUNDO: Se trata de poner en conocimiento del PARTIT DELS SOCIALISTES DE CATALUNYA (PSC-PSOE), la presente reclamación el 29 de agosto de 2019, requiriéndoles para que en el plazo de un mes remitan a esta Agencia, información sobre la respuesta dada al reclamante por los hechos denunciados, así como las causas que han motivado la incidencia y las medidas adoptadas para su subsanación de conformidad con el artículo 5.1

  1. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD). El 19 de septiembre de 2019 el PSC en respuesta al citado requerimiento de la AEPD, ha manifestado que el reclamado concurrió a las elecciones municipales formando parte de la coalición electoral Candidatura del Progres (CP) ya que había ejercido de concejal de CP del Ayuntamiento de Lleida. En el periodo de campaña electoral el reclamado acudió a la sede de la federación del PSC portando una caja de sobres ya cerrados (sin membrete, logo ni remitente alguno) dando directamente instrucción al personal de la Federación que tramitara su envío. Dicho personal procedió a su envío en atención al hecho de que el solicitante era destacado candidato de la lista electoral. El reclamado ignora el origen de los datos, si bien podría deducirse que provenían de la agenda personal de B.B.B., destacado médico de la localidad. Que si bien fue proclamado electo renunció a su acta de concejal, por cuanto en la actualidad nada le vincula al PSC. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 En relación con el citado doctor, se tiene conocimiento de que la notificación remitida el 29 de agosto de 2019, no ha sido entregada por encontrarse ausente de reparto, por lo que esta Agencia decide reiterar dicha solicitud de información el 23 de septiembre de 2019, constando en esta segunda ocasión como desconocido. TERCERO: Con fecha 24 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.
  2. b)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Con fecha 9 de junio de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/07792/2019, así como los documentos aportados por el reclamado. QUINTO: Con fecha 22 de junio de 2020 se formuló propuesta de resolución, proponiendo que se sancione a PARTIT DELS SOCIALISTES DE CATALUNYA (PSCPSOE), con NIF G08564379, por una infracción del artículo 5.1.
  3. b)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 5000€ (cinco mil euros). De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El ***FECHA.1, se publica en www.segre.com/noticies/lleida, que el Colegio Oficial de Médicos de Lleida va a proceder a la investigación de las cartas enviadas por el doctor B.B.B., con motivo de las elecciones del año 2019. La polémica surge como consecuencia de la recepción de una carta del citado doctor pidiendo su apoyo electoral por un familiar de un paciente suyo, que había muerto en el año 2002. SEGUNDO: Recepción de una carta dirigida a un familiar del reclamante pidiendo dar apoyo político al candidato del Partido Socialista. TERCERO: El 19 de septiembre de 2019 el PSC en respuesta al citado requerimiento de la AEPD, ha manifestado que el reclamado concurrió a las elecciones municipales formando parte de la coalición electoral Candidatura del Progres (CP) ya que había ejercido de concejal de CP del Ayuntamiento de Lleida. En el periodo de campaña electoral B.B.B., destacado médico de la localidad acudió a la sede de la federación del PSC portando una caja de sobres ya cerrados (sin membrete, logo ni remitente alguno) dando directamente instrucción al personal de la Federación que tramitara su envío. Dicho personal procedió a su envío en atención al hecho de que el solicitante era destacado candidato de la lista electoral. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II El artículo 4.1) del RGPD define como datos personales, “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” El artículo 4.2) del RGPD define el «tratamiento» como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Así las cosas se considera que existe tratamiento de datos personales desde el momento en que se comunica o se difunden los datos personales. El artículo 6.1 del RGPD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
  4. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
  5. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  6. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  7. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  8. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  9. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III De conformidad con las evidencias de las que se dispone en el presente momento del procedimiento sancionador, se considera que, ha quedado acreditado que el reclamado, ha utilizado los datos facilitados por B.B.B., destacado médico de la localidad, para enviarle una carta a un familiar del reclamante, pidiéndole su apoyo político, al presentarse como candidato en la lista electoral del partido político reclamado, lo cual es claramente una finalidad distinta para la que fueron dados dichos datos, que no era otra que la propia entre un paciente con su médico. Tales hechos quedan acreditados por el periódico www.segre.com, en su publicación de ***FECHA.1, siguiendo el enlace: ***URL.1 Además, se ha constatado también que fue desde la sede del partido desde donde se enviaron las cartas de propaganda electoral con los datos de los pacientes que facilitó el citado médico. Por ello, se imputa al reclamado la comisión de una infracción por vulneración del artículo 5.1
  10. b)del RGPD, que rige el principio de limitación de la finalidad, así como la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. IV El artículo 72.1.
  11. a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  12. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  13. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  14. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: En el presente caso estamos ante acción negligente no intencional, pero significativa (artículo 83.2
  15. b)Se encuentran afectados identificadores personales básicos (nombre, apellidos, domicilio), según el artículo 83.2
  16. g)VII Por otra parte, en el artículo 83.7 del RGPD se dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del art. 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a PARTIT DELS SOCIALISTES DE CATALUNYA (PSCPSOE), con NIF G08564379, por una infracción del artículo 5.1.
  17. b)del RGPD, tipificada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 en el artículo 83.5 del RGPD, en relación con el artículo 72.1
  18. a)de la LOPDGDD, una multa de 5000 € (cinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a PARTIT DELS SOCIALISTES DE CATALUNYA (PSC-PSOE). TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  19. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  20. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.