← España

PS-00480-2020

1/14  Procedimiento Nº: PS/00480/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 14/08/2020, interpuso reclamación ante la Agencia Española de Protección de Datos que se dirige contra SACRAMENTAL Y PENITENCIAL COFRADÍA DE NUESTRO PADRE JESÚS SACRAMENTADO Y MARÍA SANTÍSIMA DE LA PIEDAD, AMPARO DE LOS LEONESES, con CIF G24294787 (en adelante, la reclamada). Los motivos en que basa la reclamación son que es miembro de la Cofradía reclamada y “nunca se ha recabado su consentimiento para el tratamiento de sus datos”, “ni se le ha informado de los derechos que le asisten”. Señala también que el dato de su e-mail se ve expuesto en las comunicaciones realizadas por la reclamada a sus miembros, al remitir los correos sin copia oculta. Aporta copia de dos e-mails en los que se pueden ver los correos de los destinatarios, de 18/03, y 29/09/2019. En la mayoría de los correos su denominación es la de nombre y apellidos, figurando la del reclamante. En el de septiembre, que lleva un archivo pdf adjunto denominado “comunicado” se informa entre otros aspectos, de los asuntos acordados en la Junta de Gobierno celebrada el 28/09/2019 y de los cambios de la Junta de Gobierno. Figura en ambos correos un literal informativo sobre los datos personales, indicando: “los datos personales incluido su e mail son tratados de acuerdo a las disposiciones del RGPD” “La finalidad de este tratamiento será la gestión de la actividad empresarial habitual a través de sistemas de comunicación con todos los interesados.” “Le informamos que los datos han sido obtenidos por consentimiento del interesado por derivación de una obligación contractual, por una cesión legitima o desde una fuente de acceso publica” Se ofrece la posibilidad de ejercer los derechos. SEGUNDO: A la vista de los hechos denunciados y de los documentos aportados por el reclamante de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones para el esclarecimiento de los hechos en cuestión. El 28/09/2020, fue trasladada a la reclamada la reclamación presentada para su análisis y comunicación y comunicara la decisión adoptada al respecto. Igualmente, se le requería C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. La reclamada no dio respuesta al requerimiento formulado. TERCERO: El 15/12/2020, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra la reclamada. CUARTO: Con fecha 25/01/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de apercibimiento a la reclamada, por las presuntas infracciones de los artículos 5.1.f), 13 y 32.1 del RGPD, sancionadas conforme a lo dispuesto en los artículos 83.5.a), 83.5.

  1. b)y 83.4.
  2. a)del citado RGPD. QUINTO: Notificado el acuerdo de inicio, la reclamada el 01/03/2021, presentó escrito de alegaciones, manifestando: -Efectivamente se cometió el error de remitir un correo a integrantes de la Cofradía en el que todos los destinatarios podían ver el correo electrónico del resto de personas. El día 30/09/2019, se comunicó la incidencia a todos los interesados. Aporta copia de documento TRES con la redacción de 30/09/2019 de comunicación del error a los miembros. -Señala que con la herramienta “***HERRAMIENTA.1” después de 29/09/2019 se han seguido mandado correos al reclamante sin incidencias. Aporta copia de documento CUATRO, figurando su e mail, “contacto añadido el 12/01/2020””ultima actividad 14/02/2020”, “doce e mails entregados, once abiertos”. Añade el listado de los e mails enviados, fechas, que van de 13/03/2020 a 7/09/2020, y si han sido abiertos, entregados, o “cliqueados”. -Se comunicó a los integrantes de la Cofradía que “para elaborar el carnet identificativo de la Cofradía es necesario actualizar los datos y la política de protección de datos mediante un formulario de actualización de datos-enlace a GOOGLE FORMS-“ no se aporta copia del formulario. “En el citado correo se puede observar que cualquier destinatario puede cancelar en cualquier momento la suscripción a esa lista de comunicaciones de la Cofradía”. “Todas las comunicaciones incluyen en su parte final un extracto del tratamiento que se da a los datos del receptor de la comunicación, los derechos que tiene y la forma de ejercitarlos, tal como exige el RGPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Aporta documento CINCO titulado “información de interés y formulario”, de 13/10/2020, en el que informa de que se va a elaborar un “carnet identificativo”, siendo obligatorio “rellenar el siguiente literal informativo aceptando también así la actualización de la política de protección de datos. ***URL.1”. El literal informativo es el mismo que los correos de marzo 2019 y 29/09/2019 reflejados en el hecho primero. Se añade la opción “PULSE AQUÍ PARA CANCELAR LA SUSCRIPCION” “si procede a la cancelación de la suscripción, dejará de recibir las notificaciones en relación a la Cofradía, siendo éste el único medio de información oficial”. -Aporta copia de otros correos informativos, reiterando la cumplimentación del formulario, y conteniendo el mismo literal informativo con la misma opción de “cancelar la suscripción”. -Añade que los datos personales del reclamante fueron recogidos en la solicitud de alta, no habiendo recibido desde entonces comunicación por parte del mismo de que quisiera ejercer ninguno de los derechos reconocidos en la legislación anterior y en la vigente. Aporta copia de “Solicitud de entrada en la Cofradía” del reclamante con sus datos, incluyendo dirección de e mail, fecha de alta 5/07/2011. El literal informativo de recogida de datos señala: -La finalidad del tratamiento de los datos es el “mantenimiento de la relación como persona perteneciente a la Cofradía, con las finalidades concretas establecidas en los Estatutos”. -Además, “estos datos podrán ser utilizados para enviarte información de tu interés así como sobre actividades de la Cofradía”. -Se ofrece la explicación del ejercicio de derechos y la opción de “si tienes alguna duda puedes enviar un correo electrónico a…” SEXTO: Con fecha 12/03/2021, se inició un período de práctica de pruebas, acordándose las siguientes Dar por reproducidos a efectos probatorios: - La reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/ 07622/2020. - Las alegaciones al acuerdo de inicio PS/00480/2020 presentadas por la reclamada y la documentación que a ellas acompaña. -Se solicita a la reclamada que informe y, en todo caso, aporte prueba de las medidas técnicas y/u organizativas adoptadas a fin de evitar que se produzcan incidencias como las que han dado lugar a la apertura del presente procedimiento. Dentro del plazo otorgado no se recibió respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 SÉPTIMO: Con fecha 23/04/2021, se acordó el cambio de Instructor, notificándose a la reclamada con resultado de devuelto por sobrante al no ser retirado el envío acreditándose en el expediente. OCTAVO: Con fecha 4/05/2021 se recibe escrito de la reclamada, que responde a la petición efectuada en pruebas. - El 10/01/2020 se contrató un nuevo sistema de correo electrónico que ofrece servicios de “página web” y “sistema de correo electrónico webmail” con el sistema de “e mail marketing”, que es un sistema utilizado para la estrategia de marketing por correo electrónico, adaptado a las necesidades de la reclamada y sus miembros. Implica la entrega de un mensaje inmediato y personal mediante correo electrónico al grupo de personas que integra la misma. Aporta copia de parte de contrato en documento 1. “Los mensajes se mandan directamente a la bandeja de entrada de los destinatarios recibiéndolos éstos de manera particular e individual”. “Previamente los contactos tienen que aceptar o consentir recibir los correos.” “El consentimiento ha de prestarse de manera expresa en la solicitud de entrada o de inscripción en la Cofradía.” -Aporta en documento 2, copia de “hoja de inscripción” donde se contemplan entre otros los datos de correo electrónico, se informa de la finalidad del tratamiento: “la gestión de la actividad empresarial habitual a través de sistemas de comunicación con todos los interesados”, y el modo de ejercer los derechos. No existe información directamente relacionado con los e mails, ni la explicación de la finalidad de dicho tratamiento con la opción de no otorgar el consentimiento en ese aspecto concreto, y sus consecuencias. -Detalla como se gestiona el envío de los correos, partiendo de la creación de una serie de listas de contactos con los correos electrónicos. A la hora de enviar un correo, se elabora una plantilla con la información a enviar a los miembros, incluyendo un enlace para darse de baja. La plantilla publicada en el sistema permite añadir a los destinatarios con el nombre del listado, sin tener que acceder a los datos de cada uno de los contactos. Adjuntan en documento CINCO, los pasos definidos del envío. “Una vez recibido el correo enviado desde la Cofradía, ningún destinatario tiene acceso alguno a las direcciones de correo a los que ha sido enviada también dicha información “. En documento SEIS manifiesta que se adjunta documento enviado desde la Cofradía tal como lo veríamos cualquiera de los remitentes establecidos, pero no es aportado. NOVENO: Con fecha 2/08/2021, se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a SACRAMENTAL Y PENITENCIAL COFRADÍA DE NUESTRO PADRE JESÚS SACRAMENTADO Y MARÍA SANTÍSIMA DE LA PIEDAD, AMPARO DE LOS LEONESES, con CIF G24294787, por infracción de los artículos 13, 5.1.
  3. f)y 32.1 del RGPD, de conformidad con lo establecido en los artículos 83.5.b), 83.5.
  4. a)y 83.4.
  5. a)del RGPD. “Se lleve a efecto por la reclamada la ejecución tendente a la correcta adecuación informativa del e mail de los miembros para el uso de los envíos de correos electrónicos” No se recibieron alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 HECHOS PROBADOS 1) El reclamante es cofrade de la reclamada desde que presentó su “Solicitud de entrada en la Cofradía” (alta 5/07/2011) que incluía entre otros datos, su dirección de e mail. El literal informativo de recogida de datos señalaba que la finalidad del tratamiento de los datos es el “mantenimiento de la relación como persona perteneciente a la Cofradía, con las finalidades concretas establecidas en los Estatutos ”“estos datos podrán ser utilizados para enviarte información de tu interés así como sobre actividades de la Cofradía”. 2) El 14/08/2020 tiene entrada en la AEPD reclamación del reclamante señalando que es miembro de la Cofradía reclamada, y recibió dos e mails sin copia oculta, pudiendo ver todos los destinatarios las direcciones de todos, entre ellas, la suya. Los correos llevaban fecha de 18/03 y 29/09/2019. La reclamada reconoce los envíos sin copia oculta. El literal informativo asociado a esos dos correos electrónicos señalaba: “los datos personales incluido su e mail son tratados de acuerdo a las disposiciones del RGPD” “La finalidad de este tratamiento será la gestión de la actividad empresarial habitual a través de sistemas de comunicación con todos los interesados.” “Le informamos que los datos han sido obtenidos por consentimiento del interesado por derivación de una obligación contractual, por una cesión legitima o desde una fuente de acceso publica”. Los e mails enviados no contenían el literal que posibilite dejar de recibir estos correos. 3) Destaca una diferencia en información sobre la base legitimadora, cuando se recogen los datos, que indica la relación asociativa como finalidad de los datos, y QUE PUEDEN SER utilizados para “enviarte información de tu interés así como sobre actividades de la Cofradía” y la información que se contiene en los envíos de los e mails, con la cita en el cuerpo del envío del email de varias bases legitimadoras. 4) La recepción de los comunicados a través de e mail de la reclamada no es obligatoria, existiendo en correos fechados tras la fechas de los envíos denunciados, la opción de “cancelar la suscripción”, no existiendo acreditada suscripción propiamente por parte de los Cofrades. Cuando el reclamante se da de alta en la Cofradía, no se configura por esta el uso del e mail para tener información de la Cofradía, ni se oferta la opción de no utilizarlo, o no consentir tal uso. 5) Después de 29/09/2019, se han mandado correos al reclamante, aportando copias, que van de 13/03/2020 a 7/09/2020, sin incidencias. 6) A partir de 10/01/2020, la reclamada contrató un nuevo sistema de correo electrónico en el que “Previamente, los contactos tienen que aceptar o consentir recibir los correos.” “El consentimiento ha de prestarse de manera expresa en la solicitud de entrada o de inscripC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 ción en la Cofradía.” No aporta el literal informativo para verificar la forma y contenido concreto de la información implementada que pudiera guardar relación con el envío de email a efectos informativos de la Cofradía. Aportó la reclamada, entre otros, correos enviados tras los que han sido objeto de reclamación, con este nuevo sistema. En uno de 13/10/2020, titulado: “información de interés y formulario” se comunica que se va a elaborar un “carnet identificativo”, siendo obligatorio “rellenar el siguiente literal informativo aceptando también así la actualización de la política de protección de datos. ***URL.1” (no se aporta el citado impreso). No obstante, el literal informativo del correo de 13/10/2020 es el mismo que los correos de marzo 2019 y 29/09/2019, con el añadido de la opción “PULSE AQUÍ PARA CANCELAR LA SUSCRIPCION” “si procede a la cancelación de la suscripción, dejará de recibir las notificaciones en relación a la cofradía, siendo éste el único medio de información oficial”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se imputa a la reclamada una infracción del artículo 13 del RGPD, que determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, estableciendo lo siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  6. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  7. b)los datos de contacto del delegado de protección de datos, en su caso;
  8. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  9. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  10. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  11. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  12. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  13. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  14. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  15. d)el derecho a presentar una reclamación ante una autoridad de control;
  16. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  17. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. En general, la base legitimadora del tratamiento de datos estaría relacionada con el esquema previsto en el artículo 6.1b), el tratamiento es necesario para la ejecución de un contrato o acuerdo en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. Ahora bien, en este caso de lo que se trata es del uso del e mail y del engarce en la recogida de datos, su uso y finalidad. Los hechos denunciados se materializan inicialmente en la ausencia de información acerca del tratamiento de datos de carácter personal, singularmente el e mail, si es obligatorio proporcionar el e mail para recibir la información, o si puede no consentiré en ello, dando la opción si así fuera, o detallando las consecuencias de no facilitar tales datos. Además, la base jurídica del tratamiento del envío por e email de los correos ha de explicitar una base jurídica de tratamiento. Debe distinguirse la recogida de datos que se produce al ingresar en la Cofradía, y contiene unos datos y una información que se daban, figurando entre ellos el e mail, indicando que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 utilizarán “para el mantenimiento de la relación”, añadiéndose que: “Además, estos datos podrán ser utilizados para enviarte información de tu interés, así como sobre actividades de la Cofradía”, que es lo que se hace mediante el envío de los e mails. Esta opción de estar informado, que, se deduce, como voluntaria al contener la opción de “cancelar su suscripción”, no guarda relación con el mantenimiento de la relación, no se completa con la opción en el momento de la recogida de datos de optar para no recibir información de interés o de actividades de la Cofradía. Asimismo, la información contenida en los e mails, tampoco acierta a establecer la base legitimadora de estos envíos, mezclando diversos, distintos y contradictorios motivos. Examinando la información que se da en el alta de los miembros, se informa de modo general que la finalidad del tratamiento de los datos es el “mantenimiento de la relación como persona perteneciente a la Cofradía, con las finalidades concretas establecidas en los Estatutos” En los e mails se indicaba: La finalidad de este tratamiento será la gestión de la actividad empresarial habitual a través de sistemas de comunicación con todos los interesados.” La finalidad de la recogida debe estar clara y específicamente identificada: debe ser suficientemente detallada para determinar que tipo de tratamiento está o no está incluido en el objetivo especificado, y para permitir que se pueda evaluar el cumplimiento de la ley y se apliquen las salvaguardias de protección de datos. Se debe especificar cualquier finalidad, es decir definir suficientemente para ser explícito. El objetivo debe ser suficientemente inequívoco y claramente expresado. El requisito de que los fines se especifiquen «explícitamente» contribuye a la transparencia y la previsibilidad. Permite una identificación inequívoca de los límites de la forma en que los controladores pueden utilizar los datos personales recogidos, con el fin de proteger a los interesados. Cada objetivo del tratamiento debe estar separado y ser especifico. El mantenimiento o cumplimiento de la relación asociativa es un objetivo, la información sería otro. La información del tratamiento y la base legitimadora para el uso y finalidad del tratamiento del e mail ofrecidas es confusa en la redacción: “Le informamos que los datos han sido obtenidos por consentimiento del interesado por derivación de una obligación contractual, por una cesión legitima o desde una fuente de acceso publica” En el alta de los miembros, se indica que los datos son para el mantenimiento de la relación, no precisando del consentimiento. Menos aún, el consentimiento puede hacerse derivar de “una obligación contractual, por una cesión legitima o desde una fuente de acceso publica” como se informa en los e mails. Originariamente, en las altas como Cofrades, no se da la opción al afectado, de modo que se diferencie la finalidad del mantenimiento de la relación contractual, de la de estar informaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 do, siendo distintas. Para el mantenimiento de la relación no es necesario el envío de los e mails a los asociados, que es una añadido voluntario, al ofrecerse la posibilidad de cancelar la suscripción. Corresponde a la reclamada acreditar el cumplimiento de lo establecido en el artículo 13 del RGPD. Por tanto, ha quedado acreditado que, en el momento del alta del reclamante, no se produce una información adecuada en la recogida y uso de datos de la dirección de e mail y finalidad de información a los miembros. Circunstancia que permanece y se acredita con los envíos de los e mails objeto de la reclamación, y que perdura con la actual configuración de los e mails, que no han variado. Debería la reclamada reevaluar las finalidades asociativas de la actividad de la reclamada, de la que formaría parte la aceptación intrínseca de los Estatutos, que es la base legitimadora originaria de los datos de carácter personal de los integrantes de la Cofradía, y distinguirla del uso que efectúa de los e mails a los miembros. La reclamada debe tener en cuenta el tratamiento de otros datos bajo otra base legitimadora que no obedezca la relación, en este caso estatutaria entre sus miembros integrantes y la reclamada. Para ello, ha de tener en cuenta los elementos que conforman el consentimiento informado: “para uno o varios fines específicos”, y la libertad para otorgarlo o retirarlo sin sufrir perjuicio alguno, así como la posibilidad de revocarlo en cualquier momento con los mismos efectos. De acuerdo con el artículo 58.2 del RGPD: “ 2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  18. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” La reclamada deberá acreditar la inclusión de la información pertinente y adecuada al tratamiento de los datos derivados del email con uso informativo a sus miembros, e informar de la modalidad y forma por la que se llevaría a efecto. El artículo 83.5
  19. b)del RGPD, considera que la infracción de “los derechos de los interesados a tenor de los artículos 12 a 22”” es sancionable, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. III En cuanto a la difusión dada a los e mails objeto de reclamación, el artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. El citado artículo señala que: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 (…)
  20. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. (…) El artículo 5, deber de confidencialidad, de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  21. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. La documentación obrante en el expediente ofrece indicios evidentes de que la reclamada, vulneró el artículo 5.1.
  22. f)del RGPD, principio relativo al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al remitir correos electrónicos sin utilizar la opción de copia oculta. Este deber de confidencialidad, o deber de secreto, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos, en este caso, las direcciones e mails de los cofrades. Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. La misma reclamada ha señalado que la incidencia que dio lugar a la reclamación vino motivada por el envío de manera incorrecta de los correos electrónicos a los integrantes de la Cofradía, pues la persona que lo gestionó de manera involuntaria y accidental debió haberlo remitido como “CCO” (donde cada destinatario no puede ver al resto de destinatarios), en vez de "Para" (en la que cada destinatario puede ver al resto de destinatarios). El artículo 83.5
  23. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: “Infracciones consideradas muy graves: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  24. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV También la conducta del envío de los correos a terceros incurre en infracción de artículo 32 del RGPD “Seguridad del tratamiento”, que establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  25. a)la seudonimización y el cifrado de datos personales;
  26. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  27. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  28. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. De la documentación aportada al expediente, evidencia que la reclamada ha vulnerado el arC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 tículo 32 del RGPD, al producirse un incidente de seguridad en su sistema permitiendo el acceso a los datos personales, direcciones de correo electrónicos, al ser remitido sin utilizar la opción de copia oculta permitiendo que el resto de los destinatarios pudieran acceder a las direcciones de los demás destinatarios de la comunicación con quebrantamiento de las medidas técnicas y de seguridad establecidas. La reclamada, el 30/09/2019, al observar la remisión del segundo correo, dio cuenta inmediata a todos los destinatarios al objeto de que tuvieran conocimiento de dicha incidencia. Señala que desde entonces no se ha remitido ningún correo en los que se hayan facilitado datos personales a otros destinatarios. Queda acreditado que la reclamada no tenía instauradas adecuadas medidas referidas al tratamiento de datos en comunicaciones a asociados a su entidad, considerando acreditada la comisión de esta infracción. La vulneración del artículo 32 del RGPD se encuentra referenciada en el artículo 83.4.
  29. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  30. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD, en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  31. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”. (…)” V El RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
  32. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. Por otra parte, también se ha tenido en cuenta, en especial, los siguientes elementos. • Se trata de una pequeña entidad cuya actividad principal no está vinculada con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 tratamiento de datos personales. • No es una empresa ni su actividad guarda relación con la obtención de beneficios. • No se aprecia reincidencia, por no constar la comisión, en el término de un año, de más de una infracción de la misma naturaleza. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR una sanción de APERCIBIMIENTO a SACRAMENTAL Y PENITENCIAL COFRADÍA DE NUESTRO PADRE JESÚS SACRAMENTADO Y MARÍA SANTÍSIMA DE LA PIEDAD, AMPARO DE LOS LEONESES, con CIF G24294787, por: - Una infracción del artículo 32 del RGPD, de conformidad con el artículo 83.4.
  33. a)del RGPD. - Una infracción del artículo 5.1.
  34. f)del RGPD, de conformidad con el artículo 83.5.
  35. a)del RGPD. - Una infracción del artículo 13 del RGPD, de conformidad con el artículo 83.5.
  36. b)del RGPD. SEGUNDO: En virtud del artículo 58.2.
  37. d)del RGPD, se requiere a la reclamada para que corrija la información y la finalidad del uso de los envíos a través de los e mails, informando a esta Agencia en el plazo de dos meses de las medidas adoptadas. Se advierte que la ausencia de atención del requerimiento puede implicar la infracción prevista en el artículo 83.6 del RGPD. TERCERO: NOTIFICAR la presente resolución a SACRAMENTAL Y PENITENCIAL COFRADÍA DE NUESTRO PADRE JESÚS SACRAMENTADO Y MARÍA SANTÍSIMA DE LA PIEDAD, AMPARO DE LOS LEONESES CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  38. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.