PS-00473-2022

1/22  Expediente Nº: EXP202206966 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a LISMARTSA, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 26 de enero de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: PS/00473/2022 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dª A.A.A. (en adelante, la parte reclamante) con fecha 11 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra LISMARTSA, S.L. con NIF B78112679 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante ha recibido varios correos electrónicos, el último de ellos de fecha 26 de agosto de 2021, remitidos a una pluralidad de destinatarios sin haber utilizado la funcionalidad de copia oculta, dejando a la vista sus direcciones de correo electrónico personales. Se aporta copia de los mensajes remitidos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis y remitiera a esta Agencia, en el plazo de un mes, la siguiente información: 1. La decisión adoptada a propósito de esta reclamación. 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/22 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5. Cualquier otra que considere relevante. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 27 de junio de 2022, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 27 de julio de 2022 se recibió en esta Agencia escrito de respuesta de la parte reclamada en el que, en síntesis, indicaba: - Que el motivo por el que no puso los correos electrónicos con copia oculta es para intentar obtener respuesta de alguno de los destinatarios a los cuales se les enviaba el correo, toda vez que la reclamante se encontraba de baja por incapacidad temporal y era necesario sacar adelante el funcionamiento de la empresa en su ausencia. - Que el motivo por el que ha utilizado las direcciones de correo electrónico personales de la reclamante fue porque su cuenta de correo corporativa había sido eliminada. - Que ha contratado los servicios de Conversia a efectos de cumplir con la normativa en materia de protección de datos. CUARTO: Con fecha 11 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 21 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.

1. f)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5.
2. a)del RGPD, y por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
3. a)del RGPD. El citado acuerdo de inicio fue notificado a la parte reclamada, conforme a las normas establecidas en la LPACAP, el 21 de septiembre de 2022. SEXTO: Con fecha de entrada en registro de 4 de octubre de 2022, la parte reclamada solicitó ampliación de plazo para presentar alegaciones. El 6 de mayo de 2022, se concedió a la parte reclamada un nuevo plazo para presentar alegaciones. SÉPTIMO: La parte reclamada presentó escrito de alegaciones el 19 de octubre de 2022, en el que, en síntesis, manifestaba: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 1.- Reconocimiento de su responsabilidad, “solicitando la reducción de la sanción del 20% previsto en la normativa de aplicación.” 2.- Concurrencia de una serie de atenuantes. Respecto a las establecidas en el artículo 83 del RGPD, entiende que concurren las siguientes: - La del apartado a), pues “En ningún momento ha habido un propósito de dañar a ninguna de las personas implicadas, habiendo sido una comunicación con alcance limitado con un número escaso, determinado y conocido de destinatarios. Adicionalmente, el nivel de daños y perjuicios se estima como bajo, teniendo además en cuenta que se aplicarán medidas para mitigar los mismos (solicitud de borrado del correo). A tal efecto indica que adjunta como documento nº 1 “correos entre la reclamante y los destinatarios de los correos enviados por LISMARTSA” - La del apartado b), pues “En ningún momento ha habido intencionalidad en perjudicar a la reclamante. Tan sólo que Lismartsa pudiera continuar adelante después de ser la reclamante quién llevaba las riendas de la empresa durante una década.” - La del apartado c), porque “No puedo solicitar a los destinatarios de los correos que eliminen los correos objeto del presente procedimiento, porque yo no he informado de dichas direcciones de correo, y los destinatarios se comunicaban con LISMARTSA (con Lucía) a través de esas direcciones sin utilizar cco.” A tal efecto, indica que adjunta “correos enviados y recibidos a Lismartsa, con los distintos mails que la reclamante utilizaba en el trabajo con el ordenador de la empresa: ***EMAIL.1; ***EMAIL.2; ***EMAIL.3; ***EMAIL.4; ***EMAIL.5. Añade que ha contratado a una consultora especializada en cumplimiento normativo así como cuatro formaciones al respecto. Asimismo indica que “En la actualidad utilizamos la herramienta de Cco pero el destinatario piensa que no he informado a todos los interesados y sin pedir autorización reenvía el correo a quién considera oportuno.” Adjunta correos electrónicos al efecto. - La del apartado e), pues “A fecha del presente escrito, esta entidad no ha tenido ninguna sanción en materia de protección de datos personales.” - La del apartado f), toda vez que “Esta parte se ha mostrado totalmente cooperante con esta autoridad de control, y asume el total compromiso de que así siga siendo durante todo el procedimiento. Entre los servicios contratados, consta también el asesoramiento ante procedimientos ante la autoridad de control, por lo que nos acompañarán en todas las medidas que esta autoridad estime necesaria aplicar.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 - La del apartado g), pues “Únicamente se han visto afectados el dato del correo electrónico (…)”. Respecto a las establecidas en el artículo 76.2 de la LOPDGDD, entiende que concurren las siguientes: - La del apartado a), toda vez que “Se trata de una infracción totalmente puntual y excepcional, motivada por la necesidad de mantener el funcionamiento de la empresa, lo que incluía la gestión de las nóminas, tener acceso a la contabilidad, devolución de llaves de acceso a la sede, dispositivos telefónicos que no están en la sede y se están pagando, gestionar alquileres de inmuebles de la empresa…” - La del apartado b), pues “La actividad de la empresa es la limpieza, por lo que no tiene como actividad principal el tratamiento de datos personales para el desarrollo de su actividad económica.” - La del apartado c), porque “No se ha obtenido ningún beneficio con la infracción, todo lo contrario, se pretendía que no quebrara la empresa ante la imposibilidad de llevar la gestión de la misma (…).” - La del apartado h), toda vez que “No se ha visto afectado ningún derecho de ningún menor ni colectivo vulnerable.” 3.- Que la sanción de apercibimiento sería más proporcional al caso concreto, “teniendo en cuenta las medidas adoptadas y las atenuantes concurrentes, así como la situación económica delicada en la que nos encontramos.” OCTAVO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 21 y 28 de julio de 2021 y 26 de agosto de 2021, la parte reclamada remitió correos electrónicos a una pluralidad de destinatarios sin haber utilizado la funcionalidad de copia oculta, dejando a la vista direcciones de correo electrónico personales. SEGUNDO: Con fecha 11 de mayo de 2022, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos por haber recibido varios correos electrónicos, el último de ellos de fecha 26 de agosto de 2021, remitidos a una pluralidad de destinatarios sin haber utilizado la funcionalidad de copia oculta, dejando a la vista sus direcciones de correo electrónico personales. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En primer lugar, la parte reclamada reconoce su responsabilidad, solicitando la reducción del 20% del importe de la sanción previsto en la normativa. El artículo 85.1 de la LPACAP señala que “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda.” Por ello, el resuelvo del acuerdo de inicio del presente procedimiento sancionador indicaba que “De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros para la infracción del artículo 5.1.
4. f)del RGPD y en 400 euros para la infracción del artículo 32 del RGPD, resolviéndose el procedimiento con la imposición de esta sanción (1.200 euros en total).” Por otro lado, el artículo 85.3 de la LPACAP señala que la efectividad de tal reducción “estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.” Este aspecto también se recoge en el mencionado resuelvo del acuerdo de inicio del presente procedimiento sancionador, el cual también señala que “En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (1.200 euros o 900 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge.” Si bien la parte reclamada ha reconocido su responsabilidad dentro del plazo para formular alegaciones al acuerdo de inicio, éste no ha venido acompañado ni del desistimiento o renuncia a interponer cualquier acción o recurso en vía administrativa contra la sanción, ni del pago de la misma. Es más, presenta escrito de alegaciones para que la sanción que se la imponga no sea pecuniaria, sino de apercibimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 III Considera la parte reclamada que se deberían haber tenido en cuenta una serie de atenuantes recogidos en el artículo 83 del RGPD y en el artículo 76.2 de la LOPDGDD. El artículo 83.2 del RGPD señala que “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual (…). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta” una serie de circunstancias que enumera a continuación. Por otro lado, el artículo 76 de la LOPDGDD señala: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
5. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: (…)” Esto es, tanto el artículo 83.2 del RGPD como el artículo 76.2 de la LOPDGDD no hacen mención “agravantes” o “atenuantes”, sino simplemente a circunstancias o criterios de graduación de la multa, las cuales se han de tomar como punto de partida para la determinación de una multa efectiva, disuasoria y proporcionada (artículo 83.1 del RGPD), como se ha hecho en el presente caso. No obstante, la parte reclamada entiende que en el presente caso concurren una serie de atenuantes que deben ser valorados: - Artículo 83.2.
6. a)del RGPD: “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. Al respecto, la parte reclamada señala que “En ningún momento ha habido un propósito de dañar a ninguna de las personas implicadas, habiendo sido una comunicación con alcance limitado con un número escaso, determinado y conocido de destinatarios. Adicionalmente, el nivel de daños y perjuicios se estima como bajo, teniendo además en cuenta que se aplicarán medidas para mitigar los mismos (solicitud de borrado del correo). A tal efecto adjunta como documento nº 1 lo que denomina “correos entre la reclamante y los destinatarios de los correos enviados por LISMARTSA”. El considerando 150 del RGPD señala que “(…) El presente Reglamento debe indicar las infracciones así como el límite máximo y los criterios para fijar las correspondientes multas administrativas, que la autoridad de control competente debe determinar en cada caso individualizado teniendo en cuenta todas las circunstancias concurrentes en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 él, atendiendo en particular a la naturaleza, gravedad y duración de la infracción y sus consecuencias y a las medidas tomadas para garantizar el cumplimiento de las obligaciones impuestas por el presente Reglamento e impedir o mitigar las consecuencias de la infracción. (…)” Esto es, las circunstancias reguladas en el artículo 83.2.
7. a)del RGPD son el punto de partida para la determinación de la cuantía de la multa administrativa, pues, tal y como indican las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, “En función de las circunstancias del caso, la autoridad de control podrá considerar que los elementos anteriores aumentan o disminuyen la gravedad percibida. Si no son de especial relevancia, también pueden considerarse neutras. El acuerdo de inicio acordó que la sanción que puede corresponder en el presente caso, sin perjuicio de lo que resulte de la instrucción, sería de mil euros (1.000 €), por la presunta infracción del artículo 5.1.
8. f)del RGPD, tipificada en el artículo 83.5.
9. a)del RGPD, y de quinientos euros (500 €), por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
10. a)del RGPD. Para el establecimiento de tal cuantía tuvo en cuenta: 1.- Que, de conformidad con el artículo 83.5.
11. a)del RGPD, una infracción del artículo 5.1.
12. f)del RGPD podrá ser sancionada “con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” 2.- Que, de conformidad con el artículo 83.4.
13. a)del RGPD, una infracción del artículo 32 del RGPD podrá ser sancionada “con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” 3.- Que en el presente caso, de conformidad con el artículo 83.2.
14. a)del RGPD, concurren las siguientes circunstancias de graduación de la sanción: (
15. i)que el tratamiento de datos se ha realizado dentro del funcionamiento de la empresa, (
16. ii)el número de personas afectadas por el envío de los correos electrónicos sin utilizar la funcionalidad de copia oculta, (iii) que el daño causado a tales personas ha sido la pérdida de disposición sobre su dirección de correo electrónico al haber sido accesible a terceras personas sin su consentimiento, las cuales podrían hacer uso de las mismas sin control alguno por parte de su titular. Por otro lado, no podemos compartir la tesis de la parte reclamada relativa a que los destinatarios de los mails conocían las demás direcciones de correo electrónico a la vista de los correos electrónicos que la parte reclamada adjunta a su escrito de alegaciones al acuerdo de inicio como documento nº 1: - Uno enviado desde ***EMAIL.6 a ***EMAIL.7 el 25 de noviembre de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 - Uno enviado desde ***EMAIL.8 a “administracion iurisred” el 3 de diciembre de 2019. - Dos enviados desde ***EMAIL.6 a ***EMAIL.9.: uno en fecha 6 de diciembre de 2019 y otro en fecha 16 de diciembre de 2019. - Tres enviados desde ***EMAIL.9 a ***EMAIL.10: Uno en fecha 21 de noviembre de 2019, otro en fecha 27 de noviembre de 2019 y otro en fecha el 5 de diciembre de 2019. - Uno enviado desde ***EMAIL.6 a ***EMAIL.11 el 27 de noviembre de 2019. Mientras que los correos electrónicos que han dado lugar al presente procedimiento sancionador, han sido los siguientes: - Correo electrónico enviado el 21 de julio de 2021 desde ***EMAIL.8 a los siguientes destinatarios sin utilizar la funcionalidad de copia oculta: ***EMAIL.12, ***EMAIL.13, ***EMAIL.14, ***EMAIL.10. - Correo electrónico enviado el 28 de julio de 2021 desde ***EMAIL.8a los siguientes destinatarios sin utilizar la funcionalidad de copia oculta: ***EMAIL.12, ***EMAIL.13, ***EMAIL.14, ***EMAIL.10, ***EMAIL.15. - Correo electrónico enviado el 26 de agosto de 2021 desde ***EMAIL.8 a los siguientes destinatarios sin utilizar la funcionalidad de copia oculta: ***EMAIL.12, ***EMAIL.13, ***EMAIL.14, ***EMAIL.10, ***EMAIL.15, ***EMAIL.16, ***EMAIL.4. Por lo que se concluye que los correos electrónicos aportados por la parte reclamada no acreditan que los distintos destinatarios de los mails en los que no se utilizó la funcionalidad de copia oculta, conocieran todas las direcciones de correo electrónico personales en ellos contenidos. - Artículo 83.2.
17. b)del RGPD: “la intencionalidad o negligencia en la infracción”, pues, señala la parte reclamada, “En ningún momento ha habido intencionalidad en perjudicar a la reclamante. Tan sólo que Lismartsa pudiera continuar adelante después de ser la reclamante quién llevaba las riendas de la empresa durante una década.” Tampoco esta circunstancia puede considerarse un atenuante en el presente caso, pues, tal y como indican las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, “la ausencia de intención no equivale necesariamente a una disminución de la gravedad. De hecho la negligencia grave constituye un aumento de la gravedad percibida, y en otros casos la negligencia podría, en el mejor de los casos, considerarse neutral. Por otra parte, a este respecto, debe quedar claro que, aun cuando la infracción no sea intencional, puede considerarse una infracción grave, en función de las demás circunstancias del caso de autos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 - Artículo 83.2.
18. c)del RGPD: “cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados”. Señala al respecto la parte reclamada que “No puedo solicitar a los destinatarios de los correos que eliminen los correos objeto del presente procedimiento, porque yo no he informado de dichas direcciones de correo, y los destinatarios se comunicaban con LISMARTSA (con A.A.A.) a través de esas direcciones sin utilizar cco.” A tal efecto, indica que adjunta como documento nº 2 “correos enviados y recibidos a Lismartsa, con los distintos mails que la reclamante utilizaba en el trabajo con el ordenador de la empresa: ***EMAIL.1***EMAIL.2; ***EMAIL.3; ***EMAIL.4; ***EMAIL.5” No se alcanza a comprender la manifestación realizada por la parte reclamada a efectos de que se aplique al presente caso la circunstancia regulada en el artículo 83.2.
19. c)del RGPD como atenuante, al igual que tampoco se entiende el objetivo de los correos electrónicos adjuntados como documento nº 2, pues en ambos casos no se aprecia ninguna medida encaminada a paliar los daños y perjuicios sufridos por los destinatarios de los correos electrónicos enviados sin utilizar la funcionalidad de copia oculta. Es más, hay que resaltar que, a diferencia de lo que manifiesta la parte reclamada, a la vista de la documentación aportada no consta acreditado que los destinatarios de los correos electrónicos que han dado lugar al presente procedimiento sancionador, se relacionaran con la reclamante a través de sus distintas direcciones de correo electrónico personales sin utilizar la funcionalidad de copia oculta. Por otro lado, la parte reclamada alega que ha contratado a una consultora especializada en cumplimiento normativo, así como cuatro formaciones al respecto. Pero tales medidas: 1.- No van encaminadas a paliar los daños y perjuicios sufridos por los afectados por el envío de correos electrónicos en los que se veían sus direcciones de correo electrónico personales. 2.- Son medidas propias de un responsable del tratamiento que actúa en base al principio de responsabilidad proactiva, de conformidad con el artículo 5.2 y el artículo 19 del RGPD. Finalmente, la parte reclamada indica que “En la actualidad utilizamos la herramienta de Cco pero el destinatario piensa que no he informado a todos los interesados y sin pedir autorización reenvía el correo a quién considera oportuno.”, adjuntando correos electrónicos al efecto. Con independencia de que este no es el foro para analizar los correos electrónicos remitidos por la parte reclamada como documento nº 3, hay que señalar que la utilización de la funcionalidad de copia oculta actualmente por la parte reclamada no supone una medida que vaya a paliar los daños y perjuicios sufridos por las personas que han visto indebidamente expuestas sus direcciones de correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 personales, por lo que tampoco se puede considerar una circunstancia regulada en el artículo 83.2.
20. c)del RGPD como atenuante. - Artículo 83.2.
21. e)del RGPD: “toda infracción anterior cometida por el responsable o el encargado del tratamiento”, pues , señala la parte reclamada, que “A fecha del presente escrito, esta entidad no ha tenido ninguna sanción en materia de protección de datos personales.” En cuanto a la ausencia de antecedentes de infracciones cometidas con anterioridad, la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, nos suministra la contestación: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia “
22. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. A mayor abundamiento, las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, señalan que “la ausencia de infracciones anteriores no puede considerarse un factor atenuante, ya que el cumplimiento del RGPD es la norma. Si no hay infracciones anteriores, este factor puede considerarse neutro.” - Articulo 83.2.
23. f)del RGPD: “el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”. Considera la parte reclamada que concurre este atenuante porque “Esta parte se ha mostrado totalmente cooperante con esta autoridad de control, y asume el total compromiso de que así siga siendo durante todo el procedimiento. Entre los servicios contratados, consta también el asesoramiento ante procedimientos ante la autoridad de control, por lo que nos acompañarán en todas las medidas que esta autoridad estime necesaria aplicar.” A tal efecto hay que tener en consideración las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, las cuales señalan que “debe considerarse que el deber ordinario de cooperación es obligatorio y, por tanto, debe considerarse neutro (y no un factor atenuante).” Así queda confirmado en la mismas Directrices del CEPD sobre la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679, adoptadas el 3 de octubre de 2017, en las que se asevera que “Dicho esto, no sería apropiado tener en cuenta por añadidura la cooperación que la ley exige; por ejemplo, en todo caso se exige a la entidad permitir a la autoridad de control acceso a las instalaciones para realizar auditorías o inspecciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 - Artículo 83.2.
24. g)del RGPD: “Las categorías de datos de carácter personal afectados por la infracción”, pues, indica la parte reclamada, que “Únicamente se han visto afectados el dato del correo electrónico (…)”. Acudiendo de nuevo a las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, encontramos que éstas señalan que “En cuanto al requisito de tener en cuenta las categorías de datos personales afectadas (artículo 83, apartado 2, letra
25. g)del RGPD), el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por lo tanto, una respuesta más estricta en términos de multas. Esto se refiere, como mínimo, a los tipos de datos contemplados en los artículos 9 y 10 del RGPD, y a los datos que no entran en el ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicaciones privadas, números nacionales de identificación). En general, cuanto más de estas categorías de datos se trate o más sensibles de los datos, más grave es la infracción.” Por lo expuesto, no puede considerarse una circunstancia regulada en el artículo 83.2.
26. g)del RGPD como atenuante el hecho de que el único dato personal que se ha visto afectado sea la dirección de correo electrónico. - Artículo 76.2.
27. a)de la LOPDGDD: “El carácter continuado de la infracción.”, pues, señala la parte reclamada “Se trata de una infracción totalmente puntual y excepcional, motivada por la necesidad de mantener el funcionamiento de la empresa, lo que incluía la gestión de las nóminas, tener acceso a la contabilidad, devolución de llaves de acceso a la sede, dispositivos telefónicos que no están en la sede y se están pagando, gestionar alquileres de inmuebles de la empresa…” Pero una infracción puntual de la normativa de protección de datos de carácter personal no puede ser considerada como una circunstancia regulada en el artículo 76.2.
28. a)de la LOPDGDD como atenuante, toda vez que este precepto se refiere literalmente al carácter continuado de la infracción como criterio de graduación de la sanción, sin que quepa una interpretación a sensu contrario. Es decir, que cuando nos encontremos ante una infracción que no sea de carácter continuado, no se puede aplicar el precitado criterio de graduación como atenuante a efectos de determinar la cuantía de la sanción. El motivo no es otro que, en el ámbito del procedimiento sancionador, rige el principio de tipicidad, regulado en el artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, RJSP) cuyo apartado 4 señala que “las normas definidoras de infracciones y sanciones no serán susceptibles de aplicación analógica.” Esto es, no cabe una interpretación extensiva de los principios extraídos de una norma a un caso no previsto por ella. Al efecto podemos traer a colación la Sentencia del Tribunal Constitucional 52/2003, de 17 de marzo, la cual indica que “se proscriben constitucionalmente aquellas otras (interpretaciones) incompatibles con el tenor literal de los preceptos aplicables o inadecuadas a los valores que con ellos se intenta tutelar.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 Por otro lado, no podemos compartir la manifestación de la parte reclamada relativa a que en el presente caso ha habido una infracción “totalmente puntual”, pues no ha enviado un único correo electrónico en el que se han visto expuestas las direcciones de correo electrónico personales de los destinatarios, sino que han sido tres los correos electrónicos que ha remitido sin utilizar la funcionalidad de copia oculta, con la consecuencia de la pérdida de la confidencialidad del dato personal de la dirección de correo electrónico personal de los destinatarios. - Artículo 76.2.
29. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.”, pues, señala la parte reclamada, “La actividad de la empresa es la limpieza, por lo que no tiene como actividad principal el tratamiento de datos personales para el desarrollo de su actividad económica.” Ciertamente, la actividad principal de la parte reclamada no está vinculada al tratamiento de datos personales, pero ello no ha de implicar que tal circunstancia sea considerada como un atenuante, sino como una circunstancia neutra, al igual que sucedía con la ausencia de intención y la ausencia de infracciones anteriores. Y es que no podemos olvidar que la protección de los datos personales es un derecho fundamental de las personas físicas amparado por el artículo 18.4 de la Constitución, por lo que la normativa reguladora al respecto es de obligado cumplimiento con independencia de que el tratamiento de datos sea la actividad principal de la empresa o no, pues, incluso estas entidades, realizan diversos tratamientos de datos personales de manera habitual para el desarrollo del funcionamiento de la entidad (gestión de nóminas, gestión de recursos humanos, etc). - Artículo 76.2.
30. c)de la LOPDGDD: “Los beneficios obtenidos como consecuencia de la comisión de la infracción.”, pues, indica la parte reclamada, “No se ha obtenido ningún beneficio con la infracción, todo lo contrario, se pretendía que no quebrara la empresa ante la imposibilidad de llevar la gestión de la misma (…).” Tampoco la falta de beneficios obtenidos como consecuencia de la comisión de la infracción puede ser considerado como un criterio atenuante, en todo caso se trataría de una circunstancia neutra, al igual que sucedía con el anterior criterio de graduación analizado. - Artículo 76.2.
31. f)de la LOPDGDD: “La afectación a los derechos de los menores.”, toda vez que, indica la parte reclamada, “No se ha visto afectado ningún derecho de ningún menor ni colectivo vulnerable.” De nuevo, que no haya menores afectados por la actuación de la parte reclamada no implica que se tenga que aplicar la circunstancia del artículo 76.2.
32. f)de la LOPDGDD como una circunstancia atenuante. Y es que, al igual que indicábamos, en relación con la circunstancia relativa a las categorías de datos afectadas (artículo 83.2.
33. g)del RGPD), que cuantas más categorías de datos se encontraran afectadas o más sensibles fueran los datos, más estricta debería ser la sanción, cuando el tratamiento que realiza el infractor afecte a derechos de menores, más elevada debe ser la cuantía de la multa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/22 IV Finaliza la parte reclamada su escrito de alegaciones al acuerdo de inicio indicando que la sanción de apercibimiento sería más proporcional al caso concreto, “teniendo en cuenta las medidas adoptadas y las atenuantes concurrentes, así como la situación económica delicada en la que nos encontramos.” El considerando 148 del RGPD señala que “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento.” En el presente caso: - Ni la infracción del artículo 5.1.
34. f)del RGPD ni la del artículo 32 del RGPD son infracciones leves, sino muy grave y grave, respectivamente. - La parte reclamada no es una persona física. Por lo que no se puede sancionar a la parte reclamada con apercibimiento. Como indicamos en el anterior Fundamento de Derecho, el acuerdo de inicio estableció que “la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de: - MIL EUROS (1.000 €), por la presunta infracción del artículo 5.1.
35. f)del RGPD, tipificada en el artículo 83.5.
36. a)del RGPD. - QUINIENTOS EUROS (500 €), por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
37. a)del RGPD.” El artículo 83.5.
38. a)del RGPD dispone que “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
39. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Mientras que el artículo 83.4.
40. a)del RGGPD establece que “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
41. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 Por tanto, una multa administrativa de 1.000 euros, respecto a la infracción del artículo 5.1.
42. f)del RGPD, y de 500 euros, respecto a la infracción del artículo 32 del RGPD, se encuentra en el tramo inferior de las sanciones posibles, dando así cumplimiento a lo dispuesto en el artículo 83.1 del RGPD: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual, efectivas, proporcionadas y disuasorias.” No obstante, la parte reclamada considera que la sanción no es proporcional “teniendo en cuenta las medidas adoptadas y las atenuantes concurrentes, así como la situación económica delicada en la que nos encontramos.” En el anterior Fundamento de Derecho ya hemos indicado que las medidas adoptadas son propias de un responsable del tratamiento que actúa en base al principio de responsabilidad proactiva, así como que no concurren los atenuantes que alega la parte reclamada. Por otro lado, “la situación económica delicada” en la que dice la parte reclamada que se encuentra, no ha sido debidamente acreditada. Y es que las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, señalan que “Como derivado del principio de proporcionalidad, la autoridad de supervisión puede considerar, de conformidad con el Derecho nacional, reducir aún más la multa sobre la base del principio de incapacidad de pago. Cualquier reducción de este tipo requiere circunstancias excepcionales. De conformidad con las Directrices de la Comisión Europea sobre el método de fijación de las multas, debe haber pruebas objetivas de que la imposición de la multa pondría en peligro irremediablemente la viabilidad económica de la empresa afectada. Además, los riesgos deben analizarse en un contexto social y económico específico.” Por todo lo expuesto, se desestiman todas las alegaciones formuladas por la parte reclamada al acuerdo de inicio. V El artículo 5.1.
43. f)del RGPD, “Principios relativos al tratamiento”, establece: “1. Los datos personales serán:
44. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” De la documentación obrante en el expediente se ofrecen indicios evidentes de que la parte reclamada ha vulnerado el artículo 5.1.
45. f)del RGPD, al haber remitido correos electrónicos a direcciones personales sin utilizar la opción de copia oculta, vulnerando la confidencialidad en el tratamiento de los datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/22 VI De confirmarse, la citada infracción del artículo 5.1.
46. f)del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
47. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71, “Infracciones”, establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD, “Infracciones consideradas muy graves”, indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
48. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Las evidencias de las que se dispone y los criterios de graduación del importe de la multa recogidos en el artículo 83.2 del RGPD, permiten fijar una multa de 1.000 € (mil euros). VIII En cuanto a la seguridad de los datos personales, el artículo 32 del RGPD, “Seguridad del tratamiento”, establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/22
49. a)la seudonimización y el cifrado de datos personales;
50. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
51. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
52. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Por su parte, el RGPD en su artículo 4.12, define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” De la documentación obrante en el expediente se ofrecen indicios evidentes de que la parte reclamada ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad en sus sistemas permitiendo el acceso a datos personales, en concreto a direcciones de correo electrónico personales, al ser remitidos correos sin utilizar la opción de copia oculta, permitiendo el acceso a los citados datos con quebrantamiento de las medidas establecidas. Hay que señalar que el RGPD en el citado precepto no establece un listado de las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/22 Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que “