← España

PS-00459-2020

1/14  Procedimiento Nº: PS/00459/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 10/06/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MALAGATROM, S.L.U. con NIF B93178614 (en adelante, MALAGATROM o la reclamada), que opera bajo la marca comercial “Mercatron”. Los motivos en que basa la reclamación son: la reclamada ha tratado y divulgado en “Amazon” sus datos personales relativos a nombre y apellidos, domicilio, número de telefonía móvil, nombre de su cónyuge y número de telefonía móvil de éste. Advierte que el tratamiento de datos denunciado se realiza sin su consentimiento y sin una finalidad legítima. En esta reclamación se pone de manifiesto que, a través de la plataforma “Amazon”, la reclamante adquirió a la reclamada un producto comercializado por esta empresa, resultando defectuoso el envío y dando lugar a diversas reclamaciones, alguna con la intermediación de “Amazon”. La reclamante añade que optó por insertar un comentario con una valoración negativa de la tienda de la reclamada junto a una reseña del producto, recibiendo una respuesta en la que la reclamada amenaza con publicar sus datos, lo que posteriormente cumplió con la incorporación de un comentario que detalla los datos personales antes indicados. Adjunta las siguientes imágenes escaneadas de la cuenta de usuario de “Amazon”: 1. Mensaje de “Amazon” de fecha 15/05/2020 referente a un pedido. 2. Mensaje de 02/06/2020 enviado por <devolucion@amazon.es> a la reclamante sobre devolución. 3. Mensaje de 02/06/2020 de “Amazon” para “Mercatron” acerca de la solicitud de devolución del pedido por parte de la reclamante. 4. Mensaje de 03/06/2020 enviado por “Mercatron” a la reclamante acerca de la devolución, con el texto siguiente: “Sr. Cliente, le aconsejo que devuelva el equipo, para que nuestra relación comercial quede anulada, un voto negativo por un caso como el suyo, solo demuestra… Además, no creo que a usted le guste que todos los vendedores, vean todos sus datos en la contestación al comentario, pero si le da igual, ya no volveremos a escribirle. Usted es el que se la juega…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 5. Mensaje de 03/06/2020 enviado por el Servicio de Atención al Cliente de “Amazon” al reclamante. 6. Comentarios publicados en la página de escaparate de “Mercatron”, entre los que figura uno insertado por la propia entidad reclamada, de fecha 03/06/2020, con el texto siguiente: “Mucho cuidado con esta cuenta… (nombre y apellidos, domicilio y número de telefonía móvil de la reclamante). El marido se llama… (nombre del cónyuge de la reclamante) y es el que lleva la cuenta… (número de telefonía móvil del cónyuge de la reclamante)”. La reclamante hace referencia a la posible incorporación de sus datos personales y los de su cónyuge a anuncios publicados en los portales “Milanuncios” y “Tripadvisor”, y añade que en la misma fecha del 03/06/2020 comenzaron a recibir llamadas de personas interesadas, alguna de las cuales conocían el domicilio de la reclamante. No obstante, la reclamación no acompaña ninguna prueba al respecto. SEGUNDO: La reclamación fue admitida a trámite en fecha 22/06/2020. TERCERO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, el informe elaborado por el inspector actuante pone de manifiesto lo siguiente: “[…] Se comprueba que los hechos reclamados son ciertos, encontrándose no solo los datos personales de la reclamante y su marido publicados en la respuesta proporcionada por la reclamada a la valoración realizada por la reclamante, sino que se han encontrado otros tres casos de revelación de datos personales en respuestas a valoraciones en los últimos seis meses en el perfil del reclamado en el sitio web de venta online https://www.amazon.es. […] Realizada una búsqueda en los sitios web https://milanuncios.es y https://www.tripadvisor.es en los que la reclamante manifiesta que se han publicado también sus datos personales por los han recibido llamadas telefónicas, no encontramos ninguna referencia al teléfono de la reclamante ni al de su marido. […] Se ha comprobado que existen otros casos en los que, al recibir una valoración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 negativa, el reclamado hace públicos los datos personales de los clientes no conformes con la compra y/o el servicio. El caso más reciente de los encontrados ha sido en una respuesta al comentario de un cliente con fecha de 17 de agosto de 2020”. Mediante Diligencia de Inspección de fecha 03/12/2020, se incorpora a las actuaciones impresión de pantalla con algunas respuestas de la reclamada a comentarios insertados en el sitio web de compras de “Amazon” por sus clientes, en los que se revelan datos personales de éstos. Las páginas que contienen estos comentarios, incluidos los relativos a la reclamante, se obtuvieron del perfil de la reclamada en dicho sitio web. Se incorporan tres comentarios, todos ellos con un contenido similar al que ha motivado la reclamación, según el detalle que consta reseñado en el Hecho Probado Quinto. CUARTO: Con fecha 25/05/2021, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre la entidad reclamada en “Axesor”. En dicha web consta que dicha entidad se constituye en 2012, con un capital social de 3.000 euros. (…). (…). QUINTO: Con fecha 01/06/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a La entidad MAGALATROM, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.

  1. a)del mismo Reglamento; señalando en dicho acuerdo que la sanción que pudiera corresponder asciende a 4.000 euros (cuatro mil euros), sin perjuicio de lo que resulte de la instrucción. SEXTO: Notificado el citado acuerdo de inicio, el plazo concedido a la reclamada para formular alegaciones transcurre sin que en esta Agencia se haya recibido escrito alguno. SÉPTIMO: Con fecha 28/06/2021 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad reclamada con multa por importe de 4.000 euros (cuatro mil euros), por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. Asimismo, se propuso que por la Directora de la Agencia Española de Protección de Datos se requiera a la reclamada para que, en el plazo que se determine, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derechos de la citada propuesta de resolución. OCTAVO: Notificada a la entidad reclamada la propuesta de resolución, con fecha 30/06/2021 se recibió en esta Agencia escrito de alegaciones, en el que manifiesta que no se produce divulgación de datos, al tratarse de un chat interno de la web al que no puede tener acceso ninguna otra persona. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Alega indefensión, ante la imposibilidad de demostrar su inocencia, y añade que los bajos rendimientos que obtiene no le permiten soportar sanciones por hechos ajenos a su voluntad, por lo que se verá obligado a no continuar con la actividad empresarial. Con su escrito, la reclamada no aporta documentación alguna. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: la entidad reclamada figura registrada como “vendedor” en el Portal “Amazon”. A través de este sitio web, la reclamante adquirió uno de los productos comercializados por la reclamada. SEGUNDO: El envío del producto que la reclamante adquirió de la reclamada resultó defectuosos, dando lugar a la formulación de diversas reclamaciones por parte de la cliente. La reclamante, además, insertó un comentario en la página escaparate de la reclamada en “Amazon” con una valoración negativa de la tienda y una reseña del producto. TERCERO: Como respuesta al comentario de la reclamante, reseñado en el Hecho Probado Segundo, la reclamada, con fecha 03/06/2020, insertó un comentario acerca de la devolución, con el texto siguiente: “Sr. Cliente, le aconsejo que devuelva el equipo, para que nuestra relación comercial quede anulada, un voto negativo por un caso como el suyo, solo demuestra… Además, no creo que a usted le guste que todos los vendedores, vean todos sus datos en la contestación al comentario, pero si le da igual, ya no volveremos a escribirle. Usted es el que se la juega…”. CUARTO: Con fecha 03/06/2020, la reclamada insertó un comentario en la plataforma de compras “Amazon”, en su propia página escaparate, en el que divulga los datos personales de la reclamante relativos a nombre y apellidos, domicilio, número de telefonía móvil, nombre de su cónyuge y número de telefonía móvil de éste. El texto de este comentario es el siguiente: “Mucho cuidado con esta cuenta… (nombre y apellidos, domicilio y número de telefonía móvil de la reclamante). El marido se llama… (nombre del cónyuge de la reclamante) y es el que lleva la cuenta… (número de telefonía móvil del cónyuge de la reclamante)”. QUINTO: Por los Servicios de Inspección de la Agencia se comprobó que existen otros casos en los que, al recibir una valoración negativa, la entidad reclamada hace públicos los datos personales de los clientes no conformes con la compra y/o el servicio. Las páginas que contienen estos comentarios, incluidos los relativos a la reclamante, se obtuvieron del perfil de la reclamada en “Amazon”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 El texto de estos comentarios es el siguiente: . Comentario insertado el 29/05/2020: “Mucho cuidado con este comprador… (nombre y apellidos del cliente, domicilio y número de telefonía móvil)”. . Comentario insertado el 03/06/2020: “Cuidado con este cliente… (nombre del cliente, ciudad u código postal). Es un manipulador”. . Comentario insertado el 19/08/2020: “Cuidado con este cliente… (nombre y apellidos del cliente, domicilio y número de telefonía móvil). Se dedica a comprar cosas y por el hecho de ser prime se cree que no tiene que pagar. Ojo con este tipejo por llamarlo algo”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Lo dispuesto en la letra
  8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  9. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  10. c)y e), deberá ser establecida por:
  11. a)el Derecho de la Unión, o
  12. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  13. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  14. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  15. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  16. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  17. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 Se tiene en cuenta lo expresado en los considerandos 40 a 45 y 47 del RGPD. En el presente caso, la entidad reclamada figura registrada como “vendedor” en el Portal “Amazon”. A través de este sitio web, la reclamante adquirió uno de los productos comercializados por la reclamada. Por virtud de dicha compra, la reclamada recabó los datos personales de la reclamante y quedaba legitimada para someterlos a tratamiento con la finalidad de dar cumplimiento a la citada relación comercial. No obstante, la reclamada realizó un tratamiento de tales datos que no resultaba necesario para el cumplimiento o ejecución de dicha relación, consistente en insertar un comentario en su propia página escaparate en “Amazon” en el que se detallaron los datos personales de la reclamante relativos a nombre y apellidos, domicilio, número de telefonía móvil, nombre de su cónyuge y número de telefonía móvil de éste. El texto del comentario en cuestión es el siguiente: “Mucho cuidado con esta cuenta… (nombre y apellidos, domicilio y número de telefonía móvil de la reclamante). El marido se llama… (nombre del cónyuge de la reclamante) y es el que lleva la cuenta… (número de telefonía móvil del cónyuge de la reclamante)”. Por otra parte, las actuaciones de investigación desarrolladas por los Servicios de Inspección de esta Agencia han comprobado la existencia de comentarios similares relativos a otros clientes, cuyos datos personales han sido utilizados en igual forma. Las presentes actuaciones incorporan tres comentarios de este tipo, además del correspondiente a la reclamante, en los cuales figuran datos personales de clientes de la reclamada. No consta, en el caso de la reclamada ni en relación con los demás clientes aludidos, que los respectivos tratamientos de datos personales por parte de la reclamada se llevasen a cabo al amparo de una base jurídica que los legitime, no eran necesarios para el cumplimiento de la relación comercial, como se ha dicho, y la finalidad para la que se llevan a cabo no es una finalidad compatible con las que determinaron la recogida de tales datos personales por parte de la reclamada. En consecuencia, los citados hechos vulneran lo dispuesto en el artículo 6 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. Sobre esta utilización de los datos personales de los clientes, la entidad reclamada no ha efectuado manifestación alguna en su escrito de alegaciones a la propuesta. III El artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. Este artículo, en su apartado 1.f), señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 “1. Los datos personales serán: (…)
  18. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. El artículo 5 de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se refiere al “Deber de confidencialidad” en los términos siguientes: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  19. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. Los comentarios realizados por la reclamada sobre la reclamante y otros clientes, en los que se detallan datos personales relativos a los mismos, los cuales se insertaron en el portal de ventas “Amazon”, en la página escaparate de la propia reclamada, que está registrada como entidad vendedora en dicho portal, supone la difusión a terceros de aquellos datos personales sin ningún tipo de restricción, considerando que dicho sitio web es de libre acceso para cualquier usuario de internet. Así, por parte de la reclamada se llevó a cabo una difusión de datos personales, que constituye una infracción por incumplimiento de lo establecido en el artículo 5 “Principios relativos al tratamiento” del RGPD, apartado 1.f), en relación con el artículo 5 “Deber de confidencialidad” de la LOPDGDD. Este deber de confidencialidad, con anterioridad deber de secreto, tiene como finalidad evitar esas difusiones de los datos no consentidas por los titulares de los mismos. Se trata de una obligación que incumbe al responsable y encargado del tratamiento, así como a todo aquel que intervenga en cualquier fase del tratamiento; y que es complementaria del deber de secreto profesional. En sus alegaciones a la propuesta de resolución, la entidad reclamada niega esta divulgación de datos personales, señalando que los comentarios en cuestión se realizaron en un chat interno de la web al que no puede tener acceso ninguna otra persona. Sin embargo, las actuaciones desarrolladas por los Servicios de Inspección de la Agencia han permitido constatar que los comentarios son públicos, dado que puede accederse al sitio sin ninguna restricción, sin siquiera estar registrado en la plataforma de ventas. En el mismo escrito ha alegado indefensión, pero sin expresar ninguna causa o circunstancia que la determine. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 Los hechos constatados, consistentes en utilizar los datos personales de los interesados para realizar unos comentarios que fueron insertados en un sitio web de libre acceso, constituyen la base fáctica para fundamentar la imputación a la reclamada de las infracciones de los artículos 6 y 5.1 de la LOPDGDD. Nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho podría derivar en dos infracciones, dándose la circunstancia que la comisión de una implica, necesariamente, la comisión de la otra. Esto es, el tratamiento de datos personales en un sitio web de libre acceso deriva, a su vez, en una vulneración del deber de confidencialidad. Las dos posibles infracciones son consideradas muy graves a efectos de prescripción en el artículo 72 de la LOPDGDD y ambas están tipificadas en el artículo 83.5 del RGPD. A este respecto, el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece lo siguiente: “Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”. Por tanto, procede subsumir ambas infracciones en una, procediendo imponer únicamente la sanción prevista para la infracción del artículo 6 del RGPD, que se trata de la infracción originaria que ha implicado la comisión de la otra. V Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  20. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (...)
  21. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
  22. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
  23. d)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 anterior es compatible con la sanción consistente en multa administrativa. VI El incumplimiento de lo establecido en el artículo 6 del RGPD supone la comisión de una infracción tipificada en el apartado 5.
  24. a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  25. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  26. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  27. a)a
  28. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  29. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 hayan sufrido;
  30. b)la intencionalidad o negligencia en la infracción;
  31. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  32. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  33. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  34. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  35. g)las categorías de los datos de carácter personal afectados por la infracción;
  36. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  37. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  38. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  39. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  40. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  41. a)El carácter continuado de la infracción.
  42. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  43. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  44. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  45. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  46. f)La afectación a los derechos de los menores.
  47. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  48. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, se estima que concurren como agravantes los criterios de graduación siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 - - La intencionalidad apreciada en la comisión de la infracción. En este caso, que resulta de la incorporación de un comentario relativo a la reclamante, insertado en un sitio web de acceso público, consta un comentario previo en el que la misma reclamada amenazó con esa divulgación de datos personales. La naturaleza de la infracción, teniendo en cuenta el alcance o propósito de las operaciones de tratamiento de que se trata, respecto de la privacidad de la reclamante. La naturaleza de los perjuicios causados a las personas interesadas. El medio a través del cual se difunden los datos personales objeto de las actuaciones (sitio web de libre acceso para cualquier usuario de internet). Las categorías de los datos de carácter personal afectados por la infracción, considerando que el comentario en cuestión detalla los datos identificativos y de contacto de sus clientes y terceros. Se considera, asimismo, que concurren como atenuantes las circunstancias siguientes: - La condición de pequeña empresa de la entidad responsable. Considerando los factores expuestos, se estima procedente la imposición de una multa por importe de 4.000 euros (cuatro mil euros), por la Infracción del artículo 6 del RGPD. La reclamada ha formulado alegaciones a la propuesta de resolución indicando que los bajos rendimientos que obtiene no le permiten soportar la sanción, por lo que se verá obligado a no continuar con la actividad empresarial. Sin embargo, no ha aportado documentación alguna que respalde estas manifestaciones, o que pudiera dar a entender que la cuantía señalada resulta desproporcionada. De hecho, no ha realizado manifestación alguna sobre los criterios de graduación tenidos en cuenta. VII De conformidad con lo establecido en el artículo 58.2.
  49. d)del RGPD, la comisión de una infracción podrá conllevar la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa de protección de datos personales. Según este artículo, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Por tanto, en este caso, procede requerir a la reclamada para que, en el plazo que se determine, suprima de su página en la plataforma “Amazon” todos los comentarios insertados por la propia reclamada en los que se detallen datos personales de sus clientes o terceros; y adopte las medidas oportunas para evitar que hechos similares puedan repetirse en el futuro, advirtiendo a todas las personas de su organización sobre la ilicitud de esta conducta. Se advierte que no atender los requerimientos de este organismo puede ser considerado como una infracción administrativa grave al “no cooperar con la Autoridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la hora de la apertura de un procedimiento administrativo sancionador con multa pecuniaria. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MALAGATROM, S.L.U., con NIF B93178614, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 4.000 euros (cuatro mil euros). SEGUNDO: REQUERIR a la entidad MALAGATROM, S.L.U. que, en el plazo de un mes, adopte de las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VII de esta resolución. TERCERO: NOTIFICAR la presente resolución a MALAGATROM, S.L.U. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  50. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  51. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.