PS-00457-2023

1/26  Expediente N.º: EXP202309054 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante la parte reclamante) con fecha 20/05/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ATRIUM LEX SFC, S.L. con NIF B87634564 (en adelante la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la parte reclamante manifiesta que la parte reclamada gestiona diversos proyectos inmobiliarios en los que participan distintos inversores, teniendo la parte reclamante la condición de inversor en varios de los proyectos gestionados por la parte reclamada, señalando que, al pedir información de dichos proyectos, se solicita aportar copia del DNI del solicitante, sin que se informe sobre el tratamiento de datos a realizar. Aporta copia de correos intercambiados con la entidad reclamada en los que la parte reclamante solicita información de varios proyectos gestionados por la parte reclamada y esta solicita que aporte copia de su DNI para verificar su identidad como inversor en dichos proyectos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 29/06/2023 se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 10/07/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 11/07/2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. El 02/08/2023 la parte reclamada dio respuesta manifestando, en síntesis, lo siguiente: que el reclamante tiene la condición de socio de tres sociedades de las que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 la reclamada ostenta la condición de administrador único y por lo tanto en su condición de administrador de la sociedad, conforme a la legislación vigente, son responsable del Libro Registro de Socios de la Entidad. Que la sociedad como administrador y responsable del Libro Registro de Socios no ha incumplido ningún precepto que afecte a la privacidad de los socios y que reforzará sus procedimientos y procederá a incluir el uso de las herramientas gratuitas facilitadas por la Agencia Española de Protección de Datos. TERCERO: Con fecha 20/08/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 27/12/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de los artículos 13 y 32.1 del RGPD, tipificadas en los artículos 83.5.

1. a)y 83.4.
2. a)del RGPD, con multas de 50.000 € (cincuenta mil euros), cada una de ellas. QUINTO: Notificado el acuerdo de inicio, con fecha 19/01/2024 la parte reclamada presento escrito de alegaciones formulando en síntesis, las siguientes: que la reclamación efectuada por la parte reclamante tiene su origen en su condición de socio de tres sociedades de las que la reclamada ostenta la condición de administrador único; que el reclamante se dirigió a la reclamada en su condición de inversor, si bien el mismo reconoció que se había equivocado a la hora de decir en que proyectos era inversor, razón que ahondaba aún más en la necesidad de confirmar su identidad; que los hechos declarados en su reclamación por el reclamante son falsos y constitutivos de un posible delito de denuncia falsa; solicita prueba testifical. SEXTO: Con fecha 03/10/2024 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por la parte reclamada y la documentación que a ellas acompaña. - Solicitar a la reclamada: la Política de Privacidad o Aviso Legal de la empresa, medidas implantadas para adecuarla al artículo 13, fechas de implantación y controles efectuados para comprobar su eficacia; el Registro de Actividades de Tratamiento y el Análisis de riesgos y evaluación de impacto en el tratamiento de los datos. Por otra parte, se le comunicaba en relación con la prueba testifical solicitada que la declaración del reclamante acerca de la motivación de la reclamación, que no es competencia de la AEPD el indagar o averiguar los estímulos o razones psicológicos que impulsan a presentar una reclamación o denuncia ante la misma; su competencia se limita a determinar si las conductas pueden ser o no objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 reproche por no ser conformes con la normativa sobre protección de datos de carácter personal. Y en relación con la declaración del administrador de las Sociedades que son objeto del expediente como el careo entre dicha parte y la reclamante, se consideraban impertinentes y no adecuadas a los efectos de la resolución del presente procedimiento sancionador. - A la parte reclamante se le solicitaba que aportara la documentación que acreditara su condición de inversor y proyectos en los que participa y si se encontraba dado de alta como usuario en la Plataforma de financiación Participativa Housers Global Properties PFP, S.L. En fecha 03/10/20224 la parte reclamante dio respuesta a la prueba practicada cuyo contenido obra en el expediente. SEPTIMO: En fecha 13/11/2024 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara a la parte reclamada por infracción de los artículos 13 y 32.1 de la RGPD, con multa de 50.000 € (cincuenta mil euros), cada una de ellas. Con fecha 10/12/2024, la parte reclamada presento escrito de alegaciones contra la Propuesta de Resolución alegando en síntesis: cual es la posición de la parte reclamada en relación con el tratamiento de los datos personales y de la pretendida vulneración del artículo 13 del RGPD; sobre la pretendida vulneración del artículo 32.1 del RGPD; la vulneración del principio de proporcionalidad; que se dicte resolución acordando el archivo del presente procedimiento. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 20/05/2023 tiene entrada en la AEPD escrito de reclamación de la parte reclamante en el que manifiesta que la parte reclamada gestiona proyectos inmobiliarios en los que participan distintos inversores, teniendo la parte reclamante la condición de inversor en algunos de los proyectos, señalando que, al solicitar información de los mismos, se le pide aportar copia del DNI, sin que se informe sobre el tratamiento de datos a realizar. SEGUNDO. Constan aportados correos electrónicos intercambiados entre las partes: - 28/06/2022 La parte reclamante: “(…) Quisiera saber el estado de cuentas y si están o no alquilados y en venta los proyectos de ***PROYECTO.1 y ***PROYECTO.2. (...). (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 - 04/07/2022 La parte reclamada “(…) Con el fin de poder confirmar que aparece en la base de socios de dicho proyecto, necesitaríamos que nos remitiera el DNI escaneado para poder cotejarlo y facilitarle la información. (…)” - 04/07/2022 La parte reclamante: “(…) Me equivoqué, en ***PROYECTO.2 no tengo participación, quisiera recibir información de ***PROYECTO.1 y ***PROYECTO.3, gracias. (…)” - 12/07/2022 La parte reclamante “(…) También quisiera conocer el estado del proyecto ***PROYECTO.4 y proponer junta parta poner precio de mercado para que no les pague yo el piso a los inquilinos que vivirán muy bien pagando yo varios años. (…)” -13/09/2022 La parte reclamante “(…) Soy socio de las empresas que estoy pidiendo documentos desde junio, entiendo que se ha traspapelado y lo remitís de inmediato. Gracias. (…)” TERCERO. La parte reclamada en escrito de 02/08/2023 ha manifestado que “La reclamación efectuada por el reclamante tiene su origen en su condición de socio de tres sociedades de las que la reclamada ostenta la condición de administrador único y por lo tanto en su condición de administrador de la sociedad, conforme a la legislación vigente, somos responsable del Libro Registro de Socios de la Entidad. Ante la solicitud del reclamante es obligación del administrador comprobar la identidad de las personas que solicitan datos en su condición de socios por lo que se solicita que justifique su identidad y así se le ha explicado en el correo electrónico que el mismo reclamante adjunta, donde se le explica el tratamiento del dato que se le pide para cotejo” (el subrayado corresponde a la AEPD). CUARTO. La parte reclamante en escrito de 04/1/2024 ha aportado información como inversor en determinados proyectos. QUINTO. La parte reclamada no ha dado respuesta a las pruebas practicadas en las que se le solicitaba que aportara la Política de Privacidad o Aviso Legal y medidas implantadas para adecuarla al artículo 13 del RGPD, controles efectuados para comprobar su eficacia; el RAT y Análisis de riesgos y evaluación de impacto llevados a cabo en el tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Poderes de la autoridad de control El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
3. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
4. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” III Alegaciones a la Propuesta de Resolución 1. La parte reclamada ha alegado sobre la pretendida vulneración del artículo 13 del RGPD. La parte reclamada en su escrito de alegaciones manifiesta que la parte reclamante ostenta la condición de inversor en determinados proyecto de inversión desarrollados por la entidad Housers Global Properties PFP. S.L., siendo la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 reclamada administrador de los citados proyectos, por lo que ostenta con relación a la citada entidad la condición de encargado del tratamiento. No obstante, tales argumentos no pueden aceptarse; hay que señalar que la parte reclamada no ha aportado evidencia alguna que acredite su argumentación. La citada alegación no se sustenta en elemento probatorio alguno; se limita a señalar que el deber de informar de conformidad con el artículo 13 del RGPD corresponde al responsable del tratamiento, cuestión que por tanto no le atañe al tener la condición de encargado. El art. 4 del RGPD, Definiciones, en su apartado 8 define al “encargado del tratamiento” o” encargado”: "la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento". El artículo 28 del RGPD, Encargado del tratamiento, establece que: “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
5. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
6. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
7. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
8. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26
9. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
10. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
11. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
12. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
13. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento. Y la LOPDGDD en su artículo 33, Encargado del tratamiento, establece que: “(…) 2. Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679. Esta previsión no será aplicable a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades”. Pues bien, como se señalaba anteriormente no figura documento o evidencia que confirme que la parte reclamada actuaba como encargado del tratamiento de Housers; es más, ni en el requerimiento de información realizado por el inspector actuante ni en las alegaciones posteriores al acuerdo de inicio ha realizado manifestación o alegación en este sentido. Por otra parte, tanto en fase de actuaciones previas, como en fase probatoria se le requirió para que aportara su “Política de Privacidad”, la/s fecha/s de implantación de la misma, medidas implantadas para adecuarla al artículo 13 del RGPD, controles efectuados para comprobar su eficacia, sin que aportara documentación ni diera respuesta alguna a los citados requerimientos. Esa ausencia de colaboración no parece ser muy compatible con lo señalado en el artículo 5.2 del RGPD, que establece: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”. La parte reclamada está obligada a desplegar la actividad adecuada para cumplir los principios de protección de datos y a estar en condiciones de demostrar su cumplimiento. 2. La parte reclamada ha alegado sobre la pretendida vulneración del artículo 32.1 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 Considera la parte reclamada que la Propuesta de Resolución parte de una premisa falsa ya que no se requirió a la parte reclamante que remitiera la copia del DNI escaneado a través de correo electrónico y, por lo tanto, no puede imputársele la infracción del artículo 32.1 del RGPD ya que en ningún momento hizo referencia ni mención en el citado correo electrónico al canal a través del cual debía remitirse la documentación acreditativa de la identidad y que tan solo se limitó a solicitar la copia del DNI. Sin embargo, tal argumento no puede ser aceptado; la parte reclamada en su correo de respuesta a la parte reclamante solicitando información sobre los proyectos en los que participaba en la condición de inversor, señala: “(…) Con el fin de poder confirmar que aparece en la base de socios de dicho proyecto, necesitaríamos que nos remitiera el DNI escaneado para poder cotejarlo y facilitarle la información. (…)” Es cierto que en el citado texto no figura que la remisión de la copia del DNI escaneado sea a través de correo electrónico, aunque tal condición se sobreentiende dado que las comunicaciones entre ambos se estaba llevando a término a través de dicho canal. Y también es cierto, que si en ningún momento la parte reclamada hizo mención al canal a través del cual la parte reclamante debía remitir la citada documentación (copia escaneada del DNI), habría que entenderlo en el hecho de que el canal utilizado, correo electrónico, era considerado como el valido y veraz, pues de lo contrario habría ofrecido a la parte reclamante otro medio o canal alternativo para efectuarlo y, en este caso, a la vista de la respuesta ofrecida si no le estaba ofreciendo esa oportunidad de remisión por otra vía era porque estaba dando por sentado que la del correo electrónico era la adecuada y pertinente para ello. Por último, la parte reclamada parece contradecirse pues alegado lo anterior manifiesta que la seguridad de sus comunicaciones se encuentra debidamente aseguradas al tener contratado para la provisión de los servicios de correo electrónico el Servicio Office 365, cuya aplicación de correo electrónico, como describe el CCN, tiene implementadas garantías encaminadas a garantizar la seguridad del correo electrónico, a fin de evitar que pueda verse afectada la integridad del mismo. Sin embargo, tampoco esto es cierto porque las comunicaciones a través de correo se realizan en “texto en claro”, lo que significa que si se intercepta la comunicación llevada a cabo se puede tener acceso a los datos remitidos, ya que lo que verdaderamente garantiza Office es que el depósito o almacenamiento de los correos en sus sistemas es seguro porque tiene implantadas medidas de seguridad adecuadas, pero no que las comunicaciones de dichos correos sean seguras. 3. La parte reclamada ha alegado sobre la vulneración del principio de proporcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 La parte reclamada alega que en el caso de que se considere que ha existido infracción a la normativa de protección de debe particularmente tenerse en consideración en la determinación de la sanción que pudiera imponerse la aplicación del principio de proporcionalidad. Hay que señalar que el artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasoria”. Las multas por tanto según se deduce del precepto invocado han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso, las cuales han sido evaluadas meticulosamente, la presente resolución no vulnera el principio de proporcionalidad en la determinación de las sanciones impuestas, resultando ponderada y proporcionada a la gravedad de las infracciones cometidas, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen aún más la minoración efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 ascender dichas sanciones de conformidad con el artículo 83.5 del RGDP, que prevé para la infracción del artículo 13 del RGDP, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” o en el caso del artículo 32.1 del RGPD de conformidad con el artículo 83.4 del RGDP “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. - En su escrito de alegaciones la parte reclamada ha manifestado que solicitó y trato los datos del interesado en cumplimiento de unas diligencias de Housers, en nombre y por cuenta de èsta. Sin embargo, la parte reclamada no ha aportado prueba alguna que evidencie lo alegado, por más que no resulte verosímil que cualquiera vaya solicitando de terceros su copia del DNI, en nombre y por cuenta de otro. A mayor abundamiento, la parte reclamada que ostenta la condición de administrador único de la sociedad, en el escrito de contestación al acuerdo de inicio de fecha 19/01/2024 manifestaba que: “Dicho esto, debemos recalcar que ante la solicitud del reclamante, o de cualquier inversor, es obligación del administrador comprobar la identidad de las personas que solicitan datos en su condición de socios o inversores por lo que se solicita que justifique su identidad y así se le ha explicado en el correo electrónico que el mismo reclamante adjunta, donde se le explica el tratamiento del dato que se le pide para cotejo. 2. Que el reclamante se dirigió a esta entidad en su condición de inversor de los proyectos a los que hace referencia en sus correos, si bien el mismo reconoce que se ha “equivocado” a la hora de decir en que proyectos es inversor, razón que ahonda aún más en la necesidad de confirmar su identidad, …” Es decir, que la petición de la copia del DNI estaba relacionada con la acreditación de la identidad del reclamante, en su condición de inversor de diferentes proyectos, ante el administrador único de la sociedad. Y ya se le indicaba en la Propuesta de Resolución que, en un principio, la solicitud de la copia del DNI podía tener una finalidad legítima, puesto que de lo que se trataba era comprobar la condición de inversor de la parte reclamante; sin embargo, no figura que se le informara de conformidad con lo señalado en el artículo 13 del RGPD, es decir, que se le facilitara información alguna en relación con el tratamiento de sus datos de carácter personal. Y en Considerandos del RGPD se reitera la misma idea. Así, el Considerando 61 indica que “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso(...)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 Y el considerando 62 “Sin embargo, no es necesario imponer la obligación de proporcionar información cuando el interesado ya posea la información, (...).” - La parte reclamada ha manifestado que el razonamiento de la AEPD en relación con la apreciación de negligencia en la conducta resulta inadecuado, dado que una cosa en la apreciación de la culpa como requisito para que una determinada conducta pueda ser constitutiva de infracción y otra apreciar que ese elemento debe ser siempre considerado como agravante. Teniendo en cuenta que en la conducta de la parte reclamada concurre el elemento de culpabilidad, que es indispensable para poder exigir responsabilidad sancionadora, en este caso se concreta, además, en una muy grave falta de diligencia vulnerando la obligación de informar al afectado sobre el tratamiento de sus datos de carácter personal. Esto, porque no hay ningún elemento que permita concluir que observó alguna mínima diligencia para garantizar el citado principio como consta acreditado y así se recoge en los fundamentos de derecho de la Propuesta de Resolución, en ningún caso desvirtuados. Hechos que resultan agravados por la ausencia de colaboración con este centro directivo, pues requerida la parte reclamada, tanto en fase de actuaciones previas (en dos ocasiones), como en fase probatoria para que informara sobre las medidas adoptadas para adecuar su “Política de Privacidad” al artículo 13 del RGPD, la/s fecha/s de implantación, controles efectuados para comprobar su eficacia, sin que aportara documentación ni diera respuesta alguna a los citados requerimientos. Además, la falta de diligencia demostrada en la conducta infractora de la que se le responsabiliza debe calificarse de muy grave; la parte reclamada está obligada en virtud del artículo 5.2 del RGPD a desplegar la actividad adecuada para cumplir los principios de protección de datos, por lo que aquí interesa, el de informar, y a estar en condiciones de demostrar su cumplimiento. - Por último, considera la parte reclamada que la manifestación de la AEPD señalando que “estamos ante la ausencia de medidas técnicas y organizativas como consecuencia de la ausencia de diligencia en la actuación llevada a cabo”, es infundada ya que no es posible alcanzar dicha conclusión por el hecho de haber solicitado copia del DNI por correo electrónico. Ya se le indicaba con respecto al DNI que su identificador numérico junto con el carácter de verificación correspondiente al número de identificación fiscal identifica a una persona física de modo indubitado. Esta cualidad lo convierte en un dato particularmente sensible, y este carácter se agrava cuando nos referimos a una copia escaneada del DNI, pues un tercero que tenga acceso al mismo puede suplantar la identidad de su titular con total facilidad, y perpetrar conductas que supongan un alto riesgo para la privacidad, el honor y el patrimonio del suplantado. La parte reclamada no ha aportado prueba alguna que acredite que tenía implantadas medidas adecuadas dirigidas a eliminar los riesgos del tratamiento del DNI escaneado, sin que haya aportado un medio seguro a la parte reclamante para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 envío de la citada documentación. No consta acreditado que haya realizado un análisis de los riesgos que supone la solicitud del DNI escaneado, a través del correo electrónico, enfocado a la protección de los derechos y libertades de los interesados, ni de las medidas técnicas y organizativas que tuviera implementadas para tratar tales riesgos. Además, hay que señalar que requerida la parte reclamada para que aportara en periodo probatorio el Registro de Actividades de Tratamiento, Análisis de Riesgos y la Evaluación de Impacto en el tratamiento de los datos, la respuesta es que no hubo respuesta al requerimiento. Por tanto, de lo que antecede las alegaciones formuladas por la parte reclamada a la Propuesta de Resolución, no pueden ser aceptadas y deben decaer. IV Primera obligación incumplida: infracción del artículo 13 del RGPD Los hechos denunciados se materializan en que la parte reclamante, inversor en algunos de los proyectos gestionados por la parte reclamada, al solicitar información sobre los mismos se le pidió que debía aportar copia escaneada del DNI, sin que se le informara sobre el tratamiento de datos a realizar de conformidad con lo señalado en el artículo 13 del RGPD, lo que podría vulnerar la normativa en materia de protección de datos de carácter personal. El artículo 13 del RGPD, Información que deberá facilitarse cuando los datos personales se obtengan del interesado, establece lo siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
14. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
15. b)los datos de contacto del delegado de protección de datos, en su caso;
16. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
17. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
18. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
19. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
20. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
21. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
22. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
23. d)el derecho a presentar una reclamación ante una autoridad de control;
24. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitarlos datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
25. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Este precepto, además de determinar en sus apartados 2 y 3 la información que el responsable del tratamiento deberá ofrecer, determina que ésta ha de facilitarse en el momento de la recogida de los datos. No obstante, la previsión del artículo 13, apartados 1 y 2, hay que ponerla en relación con el artículo 13.4 que dispensa de la obligación a la que se refieren ambas disposiciones “cuando y en la medida en que el interesado ya disponga de la información.” Los considerandos del RGPD reiteran la misma idea. Así, el considerando 61 indica que “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso(...)” Y el considerando 62 dice que “Sin embargo, no es necesario imponer la obligación de proporcionar información cuando el interesado ya posea la información, (...).” En todo caso debe tenerse en cuenta que conforme al considerando 60 incumbe al responsable la obligación de “facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales”. Por otra parte, los principios recogidos en el artículo 5.1.
26. a)del RGPD, relativos al tratamiento licito, leal y transparente de los datos personales, exigen que se informe al interesado de la existencia del tratamiento y de sus fines y de la información añadida para garantizar un tratamiento leal y transparente. El responsable del tratamiento debe facilitar al interesado cuanta información sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en el que se traten los datos personales. El considerando 39 del RGPD afirma que: «El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. […]» . Por ello, se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Cuando se obtengan del interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, debe facilitarle toda la información sobre el tratamiento de sus datos tal como se indica en el artículo 13 del RGPD. En el presente caso, como consta en los correos intercambiados, la parte reclamante, inversor en determinados proyectos gestionados por la parte reclamada y ante la solicitud de aquel para que se le aportara información acerca de los mismos, le pidió que aportara copia escaneada del DNI y aunque en un principio parece una solicitud con una finalidad legítima, como era comprobar la condición de inversor del solicitante de la información, sin embargo, no figura que se le informara de conformidad con lo señalado en el artículo 13 del RGPD, es decir, que se le facilitara información alguna relativa al tratamiento de los datos de su DNI. Es más, requerida la parte reclamada, en fase de actuaciones (en dos ocasiones), para que informara sobre las medidas adoptadas para adecuar su “Política de Privacidad” al artículo 13 del RGPD, fechas de implantación y controles efectuados para comprobar su eficacia, sin que aportara documentación alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 Y en fase probatoria se requirió nuevamente para que aportara la Política de Privacidad o Aviso Legal de la empresa, las medidas pertinentes para su adecuación de conformidad con el artículo 13, sin que tampoco se diera respuesta a la misma. Dicha conducta se considera que vulnera el artículo 13 del RGPD, tipificada en el artículo 83.5.
27. b)del RGPD. V Tipificación de la infracción del articulo 13 RGPD La infracción del artículo 13 del RGPD, está tipificada en el artículo 83.5.
28. b)del RGPD que dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (...)
29. b)los derechos de los interesados a tenor de los artículos 12 a 22; (...)” (…)” A efectos de prescripción, la LOPDGDD califica esta conducta en el artículo 72.1.
30. h)de infracción muy grave y fija para ella un plazo de prescripción de tres años. El precepto dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (...)
31. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.” (...)” VI Segunda obligación incumplida: infracción del artículo 32.1 del RGPD En segundo lugar, el artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
32. a)la seudonimización y el cifrado de datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26
33. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
34. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
35. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. 1. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. De la documentación obrante en el expediente se ofrecen indicios evidentes de que el reclamado ha vulnerado el artículo 32 del RGPD, derivado de la ausencia de diligencia al no adoptar medidas técnicas y organizativas adecuadas que garanticen un nivel de seguridad adecuado al riesgo del tratamiento, como consecuencia de la solicitud de copia escaneada del DNI por correo electrónico para acreditar la identidad de socio, forma o método no muy seguro de solicitar este tipo de documentación. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “