1/4 Procedimiento Nº: PS/00482/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0482/2020, instruido por la Agencia Española de Protección de Datos, a D. A.A.A. con NIF: ***NIF.1, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/06/20 y 23/06/20, tienen entrada en esta Agencia escritos de reclamación presentados por D. B.B.B. y por D. C.C.C., (en adelante, “las personas reclamantes”), en los que indicaban, entre otras, lo siguiente: “El día 23/03/20, el reclamado envió un email masivo a clientes, proveedores y espónsores, donde indicaba que me desvinculaba de la empresa revelando mi nombre y mi DNI sin mi autorización”. A los escritos de reclamación, se adjuntaba, entre otras, copia del correo electrónico enviado el 23/03/20, desde la dirección <<***DIRECCIÓN.1>> a la dirección: ***DIRECCIÓN.2, donde se podía leer el siguiente texto: “Estimados Clientes, Proveedores y Sponsors: (…) me veo obligado a informar que los señores B.B.B. ***NIF.2 y C.C.C. ***NIF.3, están desvinculados del proyecto DNC España. Por lo tanto, no están autorizados para usar ni el nombre ni el logo para ningún fin. En el supuesto caso que lo hicieran, les rogaría que se pusieran en contacto con nosotros”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 06/07/20, se dirige requerimiento informativo a la persona reclamada. Según certificado de la Sociedad Estatal Correos y Telégrafos, el requerimiento enviado a la persona reclamada, a través del servicio de SICER, fue devuelto a origen con el mensaje de “ausente” y “no retirado de la oficina”, el día 20/11/20. TERCERO: A la vista de los hechos denunciados y documentación presentada por los reclamantes, con fecha 05/03/21, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador a la persona reclamada, en virtud de los poderes establecidos, por incumplimiento a lo estipulado en el artículo 5.1.
- c)del RGPD con una sanción de “apercibimiento”, respecto del tratamiento de los datos personales excesivos para los fines perseguidos. CUARTO: Notificado el acuerdo de inicio, la persona reclamada, mediante escrito de fecha 25/03/21, ésta formuló, en síntesis, las siguientes alegaciones: “El acuerdo de iniciación de expediente sancionador comete el error de considerarme empresario y considera a las personas reclamantes como mis subordinados, cuando en realidad fue al revés, hasta el tiempo que fui despedido. De ese despido se ha derivado un proceso judicial que está en marcha en el que están demandados los aquí reclamantes. Aporte como doc. 1 la demanda junto con sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 documentos que prueban que yo no soy empresario, sino que lo son los aquí reclamantes. Los reclamantes (empresarios) en este procedimiento han venido utilizando de manera fraudulenta la marca y el logo por mi cargada sin mi consentimiento, y sin darme ninguna contraprestación, ante sus proveedores, clientes y sponsors. El RGPD establece en su artículo 1 su objeto, que no es otro que la protección de las personas físicas. no los que actúan como empresarios, como es el caso, en el desarrollo de su actividad empresarial. No es aplicable ni la infracción prevista en el artículo 72.1
- a)LOPDGDD, ni la graduación de la sanción por la vía del art. 83.5
- b)RGPD por escapar el supuesto del objeto del Reglamento europeo”. QUINTO: Con fecha 15/04/21, se notifica la propuesta de resolución en la cual se proponía que, por la Directora de la AEPD se procediera a “apercibir” al reclamado por infracción de artículo 5.1.
- c)del RGPD por el uso de datos personales excesivos con relación a los fines perseguidos. OCTAVO: Notificado la propuesta de resolución a la persona reclamada, no se ha presentado ningún escrito de alegaciones a la misma, en el periodo concedido al efecto. HECHOS PROBADOS 1.- En los escritos presentados por los reclamantes, se indicaba que se había enviado un correo masivo “revelando nombre y DNI sin mi autorización”, y se adjuntaba, entre otras, copia del correo electrónico enviado el 23/03/20, desde la dirección <<***DIRECCIÓN.1>>, a la dirección: ***DIRECCIÓN.2, con el texto: “Estimados Clientes, Proveedores y Sponsors: (…) me veo obligado a informar que los señores B.B.B. ***NIF.2 y C.C.C. ***NIF.3, están desvinculados del proyecto DNC España. Por lo tanto, no están autorizados para usar ni el nombre ni el logo para ningún fin. En el supuesto caso que lo hicieran, les rogaría que se pusieran en contacto con nosotros”. 2.- Según las alegaciones del reclamado, el acuerdo de iniciación de expediente sancionador comete el error de considerarle empresario y considerar a las personas reclamantes como sus subordinados, cuando en realidad fue al revés, hasta el tiempo que fue despedido. Los reclamantes habían utilizado de manera fraudulenta la marca y el logo de su propiedad sin su consentimiento y por ello informó a los clientes y proveedores de esta circunstancia. Por otra parte, alega que el objeto del RGPD es la protección de las personas físicas, no los que actúan como empresarios, como es el caso, en el desarrollo de su actividad empresarial por lo que no es aplicable ni la infracción prevista ni la graduación de la sanción por escapar del supuesto del objeto del RGPD. No obstante, lo anterior, el reclamado no presenta ningún documento que corrobore que los reclamantes actuaran como empresarios autónomos en la relación contractual alegada, como pudiera ser, el contrato o precontrato firmado, las retenciones del IRPF, o los TC1 o TC2 presentados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. En el presente caso, la difusión de los datos personales de terceras personas, a través del correo electrónico, supone un tratamiento de datos personales y, por tanto, debería ampararse en alguna de las causas legitimadoras señaladas en RGPD. En el presente caso, se alega que, los reclamantes son empresarios y que, por tanto, el RGPD no es aplicable en este caso, según se establece en su artículo 1, esto es, cuando las personas actúan como empresarios, en el desarrollo de su actividad empresarial y para justificarlo adjunta la demanda que, según manifiesta, prueba que no es el empresario, sino que los empresarios son los reclamantes y que actuaron como tales. En dicha demanda con el título de, “reconocimiento de relación laboral y de tutela de derechos fundamentales”, se menciona a Don B.B.B. con ***NIF.2 y a Don C.C.C. con ***NIF.3. No obstante, no se presenta ningún documento que corrobore que los reclamantes actuaran como empresarios autónomos en la relación contractual alegada. En lo que respecta al presunto uso ilícito de los datos personales de los reclamantes por parte de del reclamado cuando éste procede a informar, mediante un correo electrónico masivo a los clientes, proveedores y espónsores, de que ambas personas están desvinculadas del proyecto “DNC España” y que por lo tanto, no están autorizadas para usar ni el nombre ni el logo, se considera, de conformidad con el “principio de minimización de datos”, recogido en el artículo 5.1.
- c)del RGPD que la revelación de los datos personales como el número de su DNI, es excesivos con relación a los fines perseguidos. El artículo 72.1.
- a)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del RGPD”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- b)del RGPD. No obstante, El art. 58.2) del RGPD dispone que: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…);
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el apartado, según las circunstancias de cada caso particular”, por lo que, la sanción que debe corresponde en el presente caso es de “apercibimiento”. A la vista de lo expuesto, se procede a emitir la siguiente: RESUELVE: APERCIBIR: a D. A.A.A. con NIF: ***NIF.1 por la infracción del artículo 5.1.
- c)del RGPD, respecto del uso de datos personales excesivos con relación a los fines perseguidos. NOTIFICAR: la presente resolución a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es