PS-00488-2020

1/15  Procedimiento Nº: PS/00488/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00488/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, entidad, PERSONAL MARK, S.L. (AREA CASA), con CIF.: B62920962, (en adelante, “la entidad reclamada), por presunta infracción del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD); Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD) y en base a los siguientes: PRIMERO: Con fecha 09/09/20, tuvo entrada en esta Agencia escrito de reclamación presentado por Dª A.A.A. (en adelante, “la parte reclamante”), en el que, entre otras, indicaba que: “Me han contactado repetidamente al teléfono móvil para publicitar sus servicios y les he pedido reiteradamente que borren mis datos sin éxito”. Al escrito de reclamación se acompaña la documentación siguiente: 1º.- Mensaje enviado al teléfono móvil de la reclamante, el 28/08/18 con el mensaje: “- Buenas tardes, soy B.B.B. de Área Casa, creo que has trabajado con nuestra agencia hace algunos tiempos. Te contacto hoy de nuevo para saber si tienes algún inmueble disponible para alquiler o vender y serias interesado para trabajar una vez más con nosotros. Gracias de antemano. Un saludo”. 2º.- Conversación mantenida entre la reclamante y la entidad reclamada, el día 07/11/19: Mensaje enviado por la entidad reclamada a la reclamante: - “Buenas, soy C.C.C., le hablo de Área Casa, ¿le contacto para preguntarle si tiene algún servicio inmobiliario en Barcelona que pueda ayudarle? “. Mensaje de contestación de la reclamante a la entidad: - “¿Tiene algún documento firmado por mi o con un check, en el que le autorice a contactarme? Porque si no, esto es vulneración de mis derechos. ¿Dónde tengo que dirigirme para que borren mis datos de sus BBDD?”. 3º.- Conversación mantenida entre la reclamante y la entidad reclamada, el día 29/06/20: Mensaje enviado desde la entidad reclamada a la reclamante: - “Buenos días, soy de Área Casa. Contacto con usted para saber si tiene un inmueble disponible para vender o alquilar ya que tenemos varios clientes inteC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 resados en instalarse por la ciudad, no dude en contactar con nosotros. Que tenga un magnifico día, saludos cordiales”. Mensaje de contestación de la reclamante a la entidad: - “Voy a denunciarles, es la 3a 0 4a vez que pido que borren mis datos”. Respuesta de la entidad: Contestación de la entidad reclamada: - “Disculpe las molestias no volverá a ocurrir, saludos cordiales”. 4º.- Conversación mantenida entre la reclamante y la entidad reclamada, <<TODAY>> Mensaje enviado por la entidad, (que después fue borrado): - (“This message was deleted”) Contestación de la reclamante: - “Bueno, está claro que no han borrado mis datos. Voy a poner una queja”. SEGUNDO: Con fecha 06/10/20 por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a la entidad reclamada, el día 06/10/20 a través del servicio de notificaciones NOTIFIC@, fue rechazado en destino. TERCERO: Con fecha 16/12/20, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LPDGDD). CUARTO: Con fecha 18/01/21, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en el artículo 17 del RGPD, respecto de la falta de diligencia a la hora de eliminar los datos personales de la reclamante de sus bases de datos con una sanción inicial de 30.000 euros (treinta mil euros). QUINTO: Notificado el acuerdo de inicio a la entidad reclamada, ésta mediante escrito de fecha 02/02/21 formuló, en síntesis, las siguientes alegaciones: “A tenor del contenido de la notificación la reclamante denuncia que no han sido atendidos por el suscrito los diversos requerimientos que ha remitido a la mercantil PersoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 nal Mark SL al objeto de que ésta dejara de enviarle comunicaciones a través de mensajería instantánea (Whatssap). En ese sentido aporta una serie de conversaciones de mensajería en las que, tras recibir mensajes de oferta de servicios ésta contesta solicitando en una primera ocasión información relativa al ejercicio de derechos. En una segunda ocasión en la que contesta (a la primera notificación no consta contestación) lo hace tras la recepción de un mensaje de solicitud de servicios para ya anunciar su voluntad de denunciar al suscrito y tras comunicar la empresa que no volverá a suceder la reclamante confirma su decisión de denunciar los hechos. No consta ningún otro mensaje enviado, por lo que desde la fecha de 8 de septiembre de 2020 sus datos son eliminados. Cabe señalar que ninguno de los mensajes que constan en el expediente incluyen la petición formal de ejercicio de derechos. Además, se han de tener en cuenta las siguientes: 1.- A esta parte no le consta que haya sucedido lo que recoge el hecho segundo de la notificación, esto es, consultada la sede de la DEH no consta que por parte de mi mandante se haya rechazado el requerimiento informativo de fecha 6 de octubre. Se adjunta copia de la página de la DEH que acredita que no se han rechazado notificaciones de la AEPD como Documento Nº 1. 2.- Las notificaciones que la denunciada realiza a la denunciante a través de su sistema de mensajería instantánea se fundamentan en el interés legítimo de la mercantil Personal Mark SL en virtud de lo dispuesto en el artículo 6.1.

1. f)RGPD resultado de la existencia de un contrato anterior de prestación de servicios entre las partes. 3.- Ciertamente la mercantil Personal Mark SL envió tres mensajes distintos a la denunciante en los que ofrecía sus servicios, que son idénticos a los que habían sido prestados en el pasado, no obstante, no consta que respecto del primer mensaje se solicitara por la denunciante ejerció de derecho de ningún tipo. Respecto del segundo mensaje, consta que la denunciante solicitó información respecto de la solicitud de ejercicio de derecho (que no ejercicio de derecho en sí mismo), solicitud que fue contestada telefónicamente informando que si deseaba ejercer derechos podía solicitarlo a través de la dirección de correo electrónico ejercicioderechos@protectordedatos.com, canal habilitado por la mercantil denunciada para el ejercicio de derechos que funciona con habitualidad, como se acredita mediante copia de diferentes solicitudes de ejercicio de derechos que han solicitado diversos clientes y usuarios de la compañía con resultados óptimos. Se adjuntan a modo de ejemplo copia de dos expedientes de ejercicios de derechos de otros clientes de la denunciada debidamente anonimizados, uno de ellos de fecha reciente y que ha entrado en curso, como Documentos Nº 2 y 3. En los citados expedientes se puede comprobar que cuando cualquier cliente o usuario solicita formalmente el ejercicio de derechos se inicia un protocolo por el que se comprueba la petición, se comunica a Personal Mark SL la petición (la gestión está externalizada para asegurar la profesionalidad y el éxito), se remite al solicitante el forC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 mulario con las instrucciones, seguidamente se procede a cumplir con el ejercicio solicitado y se certifica al solicitante toda la operación. 4.- Los usuarios y clientes de la denunciada, incluyendo la propia denunciante, tienen acceso a la información relativa al ejercicio de derechos en sus canales (web, mail, …) de fácil acceso, canales en los que consta que se pueden ejercer derechos a través de la dirección de correo electrónico ejercicioderechos@protectordedatos.com. 5.- El canal de mensajería instantánea utilizado por la denunciante (WhatsApp) contienen un sencillo sistema de bloqueo de mensajes que puede activarse en dos clicks, lo que facilita un sistema rápido y fácil de evitar recibir más mensajes mientras se tramita el ejercicio de derechos. 6.- Si bien la denunciante preguntó por la forma de ejercer sus derechos y fue debidamente contestada por la empresa, en ningún momento ejerció el derecho al olvido a través de los canales comunicados por la empresa, limitándose en un primer mensaje a consultar por la forma de hacerlo y en el segundo a comunicar su decisión de denunciar. En ese mismo momento la denunciada optó por cancelar los datos de la denunciante de forma definitiva, no habiéndose realizado ningún otro contacto desde entonces que pudiera ser considerado contrario al ejercicio del derecho al olvido, por lo que no se puede hacer referencia a una actitud reiterada de incumplimiento. En definitiva, en puridad en ninguno de los mensajes se ejerce expresamente el ejercicio del derecho que se invoca. La denunciante únicamente consulta dónde debe ejercer el derecho, siendo contestada por la empresa, para ya en el segundo de los mensajes anunciar que va a proceder a denunciar. 7.- En resumen, se trata de una actuación en la que tras una primera solicitud de ejercicio de derechos no llevada a término por la actuante, la mercantil denunciada vuelve a remitir un nuevo mensaje debido a que no ha recibido la solicitud a través del canal informado, por lo que no ha podido tomar las medidas adecuadas. Tras la amenaza de denuncia la empresa toma consciencia de la situación y envía un nuevo mensaje informando de nuevo sobre la forma de ejercer los derechos, que finalmente borra al recibir un mensaje de la denunciante en el sentido de asegurar que continuará con la denuncia. No obstante, ante la gravedad de la noticia, saltando el propio protocolo interno relativo al procedimiento para el ejercicio de derechos, se decide proceder de acuerdo con el art. 17.1 RGPD, no volviendo a remitirse más notificaciones a la denunciante, por lo que a la fecha de presentación de la denuncia por parte de ésta ya se había procedido a la supresión de los datos de la denunciante. 8.- De cualquier modo, incluso en el inusitado caso de que el presente procedimiento finalizara con imposición de sanción, ésta nunca podría alcanzar la cantidad que se formula por la instrucción actuante, todo ello por cuanto no siendo reiterado el incumplimiento, de acreditarse y en su caso sancionarse, la cantidad máxima debería ser el 2% de los ingresos del año anterior. Incluso para el caso de que se considerara de aplicación el 4% de los ingresos de la mercantil Personal Mark SL, la cantidad total arrojaría un resultado muy inferior al que se propone. Respecto de las medidas y políticas que lleva a cabo la compañía denunciada cabe señalar que se encuentra debidamente adaptada a las obligaciones del RGPD y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 LOPDGDD. En materia de ejercicio de derechos tiene habilitada y profesionalizada la dirección de correo electrónico ejercicioderechos@protectordedatos.com, dirección que pone a disposición de sus usuarios y clientes en la práctica totalidad de sus canales de acceso público y que en cualquier caso es de fácil acceso y comprensión sencilla. En el mismo momento en que se recibe una petición de ejercicio de derechos un equipo profesionalizado externo da respuesta enviando un formulario que una vez cumplimentado se documenta y se procede por la empresa a dar respuesta al ejercicio solicitado. Esa operativa viene funcionando habitualmente y constan documentadas diversas peticiones que han obtenido la debida respuesta por la empresa. Consecuentemente la empresa dispone de un sistema adecuado, proporcionado, de fácil comprensión, gratuito y sencillo para facilitar el ejercicio de derechos de sus usuarios. No obstante, reconoce expresamente el suscrito que en la ocasión que nos ocupa el sistema podría haber funcionado mejor, habilitando la posibilidad de remitir el formulario relativo al ejercicio del derecho directamente a través del canal de mensajería instantánea, al objeto de evitar la extensión en el tiempo de la práctica de esa política, mejorando de esa forma la política relativa al ejercicio de derecho. Sexto.- Si bien, como se ha dicho y acreditado, Personal Mark SL, dispone de las políticas adecuadas para garantizar el ejercicio de derechos por parte de sus clientes y usuarios, al objeto de garantizar que lo sucedido y causa del presente procedimiento no vuelva acontecer, la empresa denunciada está implementando las siguientes acciones: 1.- Formación a los trabajadores en relación a la respuesta al ejercicio de derechos de forma más eficiente. 2.- Mejora del canal de mensajería instantánea con el objeto de que cualquier usuario o cliente pueda ejercer sus derechos a través del propio canal. Con la puesta en marcha de ambas medidas se pretende que lo que ha sucedido quede como un hecho aislado y no vuelva a ocurrir, tratándose, como se ha dicho de la única ocasión en que un procedimiento de ejercicio de derechos ha causado inconvenientes a un cliente de la empresa. Séptimo.- El artículo 58.2 RGPD: En atención al citado precepto la autoridad de control puede, alternativamente a la imposición de sanción, ordenar al responsable del tratamiento que atienda la solicitud de ejercicio de derecho, así como advertir o apercibir al responsable cuando se pueda o se haya infringido el contenido del reglamento. En el presente procedimiento, si bien es cierto que el protocolo del canal de mensajería instantánea es mejorable y así lo ha podido comprobar la empresa, también lo es que se han tomado las medidas adecuadas para que no se den nuevas situaciones mediante la decisión de incorporar al canal de mensajería instantánea un modelo directo de ejercicio de derecho y a través del reforzamiento de la formación de los empleados. En virtud de lo expuesto. SOLICITA: Tenga por presentado este escrito con sus datos y documentos adjuntos y en sus méritos revoque y deje sin efectos el acuerdo de inicio de procedimiento sancionador o subsidiariamente resuelva mediante adC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 vertencia y/o apercibimiento, así como con la orden de atender la solicitud de ejercicio de derecho SEXTO: Con fecha 21/06/21, se notifica a la entidad reclamada la propuesta de resolución, en la cual se propone que, por la Directora de la Agencia Española de Protección de Datos se proceda a sancionar a la entidad PERSONAL MARK, S.L. (AREA CASA), por infracción del artículo 17 del RGPD con multa de 30.000 euros (treinta mil euros), respecto de la falta de diligencia a la hora de eliminar los datos personales de la reclamante de sus bases de datos haciendo caso omiso a la solicitud de ésta. SÉPTIMO: Con fecha 05/07/21, la entidad reclamada remite a esta Agencia escrito de alegaciones a la propuesta de resolución, en el cual indica, entre otras: “Esta parte ya realizó alegaciones al ACUERDO DE INICIACIÓN DE PROCEDIMIENTO SANCIONADOR, alegaciones que reitera, que se tienen aquí por reproducidas a los efectos oportunos y que se resumen en las siguientes cuestiones: 1.- Por parte de la denunciante nunca se ha procedido formalmente a ejercer sus derechos ante la empresa denunciada por más que pudo tener conocimiento del protocolo para ejercerlos tras la conversación telefónica mantenida con la denunciada de la que efectivamente no consta prueba porque no se registran las llamadas. No obstante, que no se pueda acreditar en sede administrativa la existencia de esa llamada no puede concluirse que no se produjera. 2.- La sanción que se propone es más que excesiva en tanto que el canal en el que se producen los hechos denunciados permite el bloqueo del remitente en dos sencillos pasos, lo que facilita a cualquier usuario el cese en la recepción de mensajes que no quiere recibir mientras ejerce sus derechos, derechos que en este asunto como se ha dicho nunca se han ejercido formalmente. 3.- Si bien es cierto que la denunciada remitió varios mensajes por mensajería whatssap a la denunciante, también lo es el hecho de que con anterioridad a la presentación de la denuncia por parte de la denunciante la denunciada ya había procedido, incluso sin haberse ejercitado los derechos por la denunciante, a suprimir los datos de esta y nunca más recibió un nuevo mensaje, lo que a todos los efectos debe tenerse como una medida adoptada por la organización denunciada en favor del cumplimiento de las normas de protección de datos. Medida insistimos, tomada con antelación a la interposición de la denuncia, lo que debe tener un valor a la hora de realizar el cálculo de la sanción a imponer, a todas luces desproporcionada a tenor del tamaño de la empresa y del supuesto incumplimiento imputado. 4.- Imposición de una sanción excesiva en virtud de lo dispuesto en el artículo 83 RGPD. 5.- La empresa denunciada cumple con habitualidad con sus obligaciones en materia de protección de datos, tiene habilitados los canales y los protocolos y acredita que efectivamente, cuando se ejercita un derecho por parte de un usuario en forma se procede a facilitar y llevar a cabo ese ejercicio de derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 6.- La empresa ha tomado medidas para evitar que una circunstancia parecida a la denunciada vuelva a suceder, demostrando así su compromiso con la norma invocada y su interés por proteger los derechos de los usuarios. 7.- Es posible sustituir la sanción por una advertencia y la instrucción al administrado. Segundo.- Presentadas las alegaciones ante el órgano instructor este resuelve con fecha de 14 de junio de 2021, notificada a esta parte con fecha de 21 de junio de 2021, resolución que rechaza en su totalidad de las alegaciones presentadas por esta parte justificándose en la supuesta gravedad de los hechos. Tercero.- Esta parte no puede estar más en desacuerdo con las conclusiones del órgano instructor contenidas en los hechos probados y en sus fundamentos de derecho de fecha de 14 de junio, razón por la que, además de reiterarse en sus alegaciones iniciales plantea las siguientes cuestiones a las citadas conclusiones: 1. Efectivamente como ya se ha dicho, no consta ninguna grabación que acredite que la denunciada informó telefónicamente a la denunciante, como tampoco consta lo contrario, esto es, la denunciante no ha negado esa circunstancia, por lo que no se puede sin más tener por no probada esa alegación en virtud del contenido del art. 12.1 RGPD que en ningún caso establece la obligación de acreditar la existencia de la comunicación verbal. Además, como se dijo en el anterior escrito, la empresa denunciada dispone de un modelo protocolizado y profesionalizado para el ejercicio de derechos al que se puede acceder directamente incluso a través de la web. Es innegable que en la actualidad disponer del modelo de información para ejercicio de derechos en la web de la empresa debe entenderse como un modelo conciso, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. (http://www.areacasa.es/static2/proteccion_de_datos/). Del mismo modo, tal y como expresamente reconoce el órgano actuante, del contenido del art. 12.1 RGPD se puede concluir que la información puede facilitarse verbalmente, como ha sido el caso. En tal caso la norma invocada no requiere ningún tipo de acreditación al respecto, no es necesario probar que se ha facilitado por escrito, por lo que no cabe en esta instancia exigir prueba en ese sentido como lo hace el órgano instructor. Por otra parte y sin deseo alguno de culpar a la denunciante por los hechos denunciados, reconociendo expresamente que en ese particular caso y canal debía haberse actuado más rápidamente, es necesario recordar que la denunciante podía acceder a la web de la empresa con facilidad para ejercer sus derechos, que como se ha dicho se le notificó incluso telefónicamente la forma de ejercerlos, que además para evitar mayores molestias tenía la posibilidad de bloquear al remitente en dos sencillos pasos. Nada de eso hizo, limitándose a quejarse y a invocar, que no ejercer, su derecho a la supresión de datos. En tanto es así, parece más que desproporcionado que se proponga la imposición de una sanción por una cantidad tan elevada, cuando, además, como se dirá más adelante, no se dan las circunstancias agravantes del art. 83 RGPD. 2. Cabe reiterarse en el hecho de que es falsa de toda falsedad la afirmación del instructor en sus fundamentos de derecho en los que viene a afirmar “…ningún tipo de información se dio a la reclamante cuando esta lo solicitó”. Como se ha dicho y reiterado hubo una comunicación telefónica. Puede el instructor, aunque sin base jurídica alguC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 na, concluir que no consta acreditado, pero de ningún modo puede afirmar que no existió dicha comunicación. 3. Respecto de la cuantía de la sanción propuesta, se considera totalmente desproporcionada y los fundamentos de derecho excesivos e irracionales en tanto que: - El artículo 83 RGPD establece las condiciones generales para la imposición de sanciones (…). En función del contenido del citado artículo no parece que concurran agravantes suficientes que pudieran llevar a una sanción que supere incluso el 4% previsto como cantidad máxima en la norma. Constan como atenuantes: La medida tomada por el denunciado consistente en suprimir los datos con anterioridad a la presentación de la denuncia por la denunciante, así como su compromiso de formación e información a los trabajadores tras el suceso. La categoría de los datos personales, esto es, un nombre y un número de teléfono. La inexistencia de infracciones anteriores. Asimismo, carece de todo argumento que se afirme por el inspector actuante que no cabe el procedimiento de apercebimiento pues “se debería dejar de tener en cuenta, los agravantes aplicados en este caso establecidos en el art.º 83.2 RGPD y en el art.º 76.02 LOPDGDD.” Se trata de un único caso en que se da un suceso así en la empresa denunciada, no consta acreditado que la denunciante ejerciera formalmente sus derechos y a fortiori constan distintos procedimientos con otros usuarios en los que la empresa siempre ha actuado en función del protocolo dando curso inmediato a los ejercicios de derecho. Se trata por tanto de una única situación en la que se puede reprochar a la empresa una actuación muy mejorable, pero de ningún modo nos encontramos ante una empresa que abandone sus obligaciones en materia de protección de datos y menos en cuanto al ejercicio de derechos se refiere. No parece razonable que ante unos hechos en los que incluso cabe la existencia de dudas sobre si ciertamente la denunciante renunció a utilizar vías establecidas para ejercer sus derechos, limitándose únicamente a solicitar información sin más para después denunciar, pueda finalizar con una sanción tan excesiva y desproporcionada. Finalmente se debe tener en cuenta el criterio de proporcionalidad a la hora de sancionar a una empresa que ha cometido una infracción, en especial en estos tiempos de pandemia en los que el propio Gobierno español habla de “empujar todos juntos” o “que nadie quede atrás”. Se trata de una empresa que facturó en 2019 (año de referencia) 345.148,54€, con un resultado antes de impuestos de 2.295,96€ de beneficios y en 2020 obtuvo unos ingresos de 446.500,94€ con un resultado de 8.350,01€. Si se le impone una sanción de 30.000,00€ se estará imponiendo una sanción del 8,7% sobre su facturación sin que se haya causado un daño tan grave que pueda justificar tal cantidad. A la vista de los hechos, de los que no negamos una manifiesta falta de diligencia, pero al que oponemos su singularidad por haber sucedido una única vez, considera el suscrito que debe procederse por ser de justicia a advertir al denunciado o subsidiariaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 mente imponer una sanción que permita ajustar la gravedad de los hechos a la cuantía, teniendo en cuenta la realidad económica de la empresa y de la situación del país. En virtud de lo expuesto SOLICITA Tenga por presentado este escrito con sus datos y documentos adjuntos y en sus méritos REVOQUE y deje sin efectos la propuesta de resolución o SUBSIDIARIAMENTE resuelva mediante advertencia y/o apercibimiento, así como con la orden de atender la solicitud de ejercicio de derecho o en su caso imponga una sanción por una cuantía proporcionada a los hechos y muy inferior a la propuesta OCTAVO: De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes hechos: HECHOS PROBADOS 1º.- En el presente caso, la parte reclamante denuncia que recibe mensajes en el teléfono móvil para publicitar sus servicios y les ha pedido reiteradamente que borren sus datos personales de sus bases de datos sin conseguirlo pues siguen contactando con ella. 2º.- Esta reclamación es corroborada por las evidencias aportadas en el escrito presentado: - Aporta el mensaje enviado por la entidad reclamada al teléfono móvil de la reclamante, el día 28/08/18 intentado que contacte con ellos y ofreciéndola sus servicios. - Aporta el mensaje enviado por la entidad reclamada al teléfono móvil de la reclamante, el día 07/11/19, volviendo a intentar que contacte con ellos y reiterando el ofrecimiento de sus servicios. La contestación de la reclamante a este mensaje fue el siguiente: “¿Tiene algún documento firmado por mi o con un check, en el que le autorice a contactarme?, Porque si no, esto es vulneración de mis derechos. ¿Dónde tengo que dirigirme para que borren mis datos de sus BBDD?” - Aporta el mensaje enviado por la entidad reclamada al teléfono móvil de la reclamante, el día 29/06/20 volviendo a intentar que contacte con ellos y reiterando el ofrecimiento de sus servicios. La contestación de la reclamante a este mensaje fue el siguiente: “Voy a denunciarles, es la 3a 0 4a vez que pido que borren mis datos”, siendo la respuesta de la entidad: “Disculpe las molestias no volverá a ocurrir, saludos cordiales”. - Después de ello, existe un nuevo mensaje enviado desde la entidad reclamada, no se especifica el día, que fue borrado después por la entidad reclamada, a lo que la persona reclamante contestó: <<TODAY>>: “Bueno, está claro que no han borrado mis datos. Voy a poner una queja”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 3.- Por su parte, la entidad reclamada reconoce en el escrito de alegaciones a la incoación del expediente que envió tres mensajes distintos a la denunciante en los que ofrecía sus servicios. No obstante, no les consta que, respecto del primer mensaje, se solicitara por la denunciante ejerció de derecho de ningún tipo. Respecto del segundo mensaje, les consta que la denunciante solicitó información respecto de la solicitud de ejercicio de derecho y afirma que dicha solicitud fue contestada telefónicamente pero no aporta ningún documento o grabación telefónica que pueda corroborar esta afirmación. FUNDAMENTOS DE DERECHO I- Competencia. Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II- Contestación a las alegaciones a la Propuesta de Resolución. Primero.- Sobre el hecho de que la reclamante no ejerciera sus derechos en materia de protección de datos. En la conversación mantenida el 07/11/19 entre la entidad reclamada y la reclamante, (segundo mensaje), ésta de la respuesta que envía, se desprende claramente que solicita ejercer sus derechos en lo que se refiere al tratamiento de datos personales y así lo indica: “¿Tiene algún documento firmado por mi o con un check, en el que le autorice a contactarme? Porque si no, esto es vulneración de mis derechos. ¿Dónde tengo que dirigirme para que borren mis datos de sus BBDD ?”. La entidad reclamada, lejos de responder a la pregunta de la reclamante sigue intentando contactar con ella para realizar una transacción comercial. Así se indica en el tercer mensaje: “Buenos días, soy de Área Casa. Contacto con usted para saber si tiene un inmueble disponible para vender o alquilar ya que tenemos varios clientes interesados en instalarse por la ciudad, no dude en contactar con nosotros. Que tenga un magnifico día, saludos cordiales”. Ante esta actitud, la reclamante les responde que: “es la 3a 0 4a vez que pido que borren mis datos”, diciéndoles que les va a denunciar. Ante esta amenaza de denuncia, la entidad responde: “Disculpe las molestias no volverá a ocurrir, saludos cordiales”, pero lejos de cumplir lo prometido, la entidad vuelve a enviar un cuarto mensaje, en el cual no se identifica la fecha, que fue después borrado desde la entidad - (“This message was deleted“, a lo que, la reclamante responde: “Bueno, está claro que no han borrado mis datos. Voy a poner una queja”. Segundo.- Sobre las medidas tomadas por la entidad reclamada en materia de protección de datos. No se trata de que, si el canal a través del cual se realiza la conversación tiene o no mecanismos sencillos para bloquear al remitente, lo que se trata es de que la reclamante, al ejercer sus derechos en materia de protección de datos personales recibió respuesta afirmativa de la entidad, indicando que “no volverían a contactar con ella” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 dando por sentado que sus datos personales serían borrados de sus bases de datos accediendo con ello a lo solicitado. No obstante, tal y como evidencian las pruebas presentadas por la reclamante, esto no fue así, produciéndose, unos días después, otro intento de contacto con la reclamante, haciendo, por tanto, un uso ilícito de sus datos personales. En este sentido, el artículo 17.1.
2. b)del RGPD es claro, al establecer que: “1.El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: (…)
3. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; Pero además la entidad reclamada, lejos de responder a la pregunta de la reclamante, (…) “¿Dónde tengo que dirigirme para que borren mis datos de sus BBDD?”) sigue intentando contactar con ella para realizar una transacción comercial, (“Buenos días, soy de Área Casa. Contacto con usted para saber si tiene un inmueble disponible para vender o alquilar ya que tenemos varios clientes interesados en instalarse por la ciudad, no dude en contactar con nosotros. Que tenga un magnifico día, saludos cordiales”). Tercero.- Sobre las herramientas existentes para ejercer los derechos en materia de protección de datos. No se están valorando en este procedimiento las diferentes herramientas que poseen las aplicaciones o app para luchar contra mensajes o correos electrónicos no deseados. Lo que se está valorando en este procedimiento es el grado de diligencia debida que puso la entidad reclamada en la solicitud de eliminación de los datos personales de la reclamante de sus bases de datos. Diligencia que, según las pruebas presentadas por la reclamante, careció la entidad reclamada. Cuarto.- Respecto de la cuantía de la sanción impuesta. Indicar que, la presunta infracción cometida por la entidad, según el artículo 83.5 “puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por tanto, aunque la entidad alegue que el 2% o incluso el 4% de sus ingresos totales del año anterior no superen la cuantía de la sanción inicialmente impuesta, aclarar que, lo que establece el artículo 83.5, cuando indica que “…optándose por la mayor cuantía” es que, si los ingresos totales de una compañía no superan los 20.000.000 euros anuales la administración puede optar por imponer una sanción de hasta esos 20.000.000 euros, por ser “la de mayor cuantía” pero si es al revés, el 4% de los ingresos totales de una compañía superan los 20.000.000 euros, la administración puede optar por imponer una sanción de hasta ese 4% de los ingresos totales anuales, por ser: “la mayor cuantía”. En el acuerdo de incoación de expediente se consideraba que procedía graduar la sanción a imponer de acuerdo con los criterios agravantes que establece el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 83.2 del RGPD: la duración de la infracción, (apartado a); la falta de diligencia por parte de la entidad reclamada, (apartado b); se encuentran afectados identificadores personales básicos, (apartado g). Además, también se consideraban por su parte, los agravantes del artículo 76.2 de la LOPDGDD: el carácter continuado de la infracción, (apartado
4. a)y la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b), fijando una sanción inicial de 30.000 euros, (treinta mil euros). Teniendo en cuanta las alegaciones presentadas por la entidad reclamada a la propuesta de resolución, en su punto final, se deben aplicar, en este caso, los atenuantes siguiente, de acuerdo con los criterios establecidos en el artículo 83.2 del RGPD y en el artículo 76.2 de la LOPDGDD:
5. a)Respecto del artículo 83.2 del RGPD: - Las medidas tomadas por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados al no constar en esta Agencia nuevos tratamientos de datos ilícitos por parte de la entidad (apartado c); - Las circunstancias económicas actuales de la empresa, influenciadas por la situación social (apartado k).
6. b)Respecto del artículo 76.2 de la LOPDGDD: - La inexistencia de beneficios obtenidos como consecuencia de la comisión de la infracción (apartado c). III De conformidad con las evidencias de las que se dispone, expuestas en los apartados anteriores, se constata que los hechos expuestos suponen la vulneración del artículo 17.1 del RGPD, en aplicación del artículo 12 del citado Reglamento, toda vez que la entidad no actuó diligentemente al no eliminar los datos personales de la reclamante de sus bases de datos, en tiempo y forma tal y como ella solicitaba. El artículo 72.1.
7. k)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento”. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
8. b)del RGPD. De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso y atendiendo a lo solicitado por la entidad reclamada en sus alegaciones, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes y atenuantes que se establecen el artículo 83.2 del RGPD y en el artículo 76.2 de la LOPDGDD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 Según el artículo 83.2 del RGPD: - - Como agravantes: o La duración de la infracción, (apartado a). o La falta de diligencia demostrada por la entidad reclamada, (apartado b). Como atenuantes: o Las medidas tomadas por el responsable del tratamiento para paliar los daños y perjuicios sufridos por los interesados al no constar en esta Agencia nuevos tratamientos de datos ilícitos por parte de la entidad (apartado c); o Las circunstancias económicas actuales de la empresa, influenciadas por la situación social (apartado k). Según el artículo 76.2 de la LOPDGDD: - - Como agravantes: o El carácter continuado de la infracción, (apartado
9. a)o la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b). Como atenuantes: o La inexistencia de beneficios obtenidos como consecuencia de la comisión de la infracción (apartado c). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 17 del RGPD, permite fijar una sanción de 10.000 euros, (diez mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad, PERSONAL MARK, S.L. (AREA CASA), con CIF.: B62920962, una sanción de 10.000 euros (diez mil euros), por infracción del artículo 17 del RGPD, respecto de la falta de diligencia a la hora de eliminar los datos personales de la reclamante de sus bases de datos. SEGUNDO: NOTIFICAR la presente resolución a la entidad PERSONAL MARK, S.L. (AREA CASA) e INFORMAR a la reclamante sobre el resultado de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
10. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es