PS-00493-2020

1/16  Expediente Nº: PS/00493/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 24/09/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra REAL CLUB NAÚTICO DE RIBADEO con NIF G27122514 (en adelante, el reclamado). Los motivos en que basa la reclamación son la publicación en la página web y en Facebook del reclamado, de la sentencia XXX/2019 de la (…) de ***FECHA.1 que contiene sus datos personales y los de otras personas, sin anonimizar, incluso habiendo sido recurrida (…) por él. La sentencia contra la del ***JUZGADO.1 de ***FECHA.2, estimaba totalmente la demanda interpuesta por el reclamante contra el reclamado, declarando vulnerado el derecho fundamental de asociación del actor y la nulidad de la resolución dictada por el reclamado. Refiere la de la Audiencia, apelante el reclamado, la sanción de suspensión de la ***CONDICIÓN.1 con accesoria (…), habiendo sido el reclamante en el periodo XXXX/YYYY, ***PUESTO.1 del Club reclamado. La sentencia clasifica algunas actuaciones del reclamante como “(…)” y (…). Alude también a datos de otras personas, como el anterior ***PUESTO.2 del Club al que también se le instruyó otro disciplinario, o al titular de una embarcación que estuvo en (…) y datos de personas identificables como “La (...)”. La sentencia estima parcialmente las pretensiones del reclamado. Aporta copia de la impresión de la página web y de Facebook del reclamado, en la que a 3/05 se menciona la sentencia con un enlace para acceder a la misma, con referencia a fecha de impresión de la hoja de 12/08. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado el ***FECHA.3 de su reclamación E/9792/2019 al reclamado para que procediera a su análisis y diera respuesta en el plazo de un mes. El reclamado no accedió a la notificación telemática, siendo fecha de rechazo automático el 8/11/2019. Se volvió a enviar por notificación postal el 8/11/2019. En fecha 14/01/2020, el reclamado dio respuesta a este requerimiento, manifestando: 1) Cautelarmente han anulado los enlaces que permitían el acceso al texto íntegro de la sentencia de la página web del Club así como de FACEBOOK. Acompaña documentos 1 y 2. En la copia del 1 contiene para acreditar la retirada la página en la que aún deja el titular informativo en el que figura “la (…) sentencia que el Real Club náutico de Ribadeo cumplió C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 con todos los preceptos legales para la (…) del señor A.A.A., ratifica el expediente disciplinario incoado al (…), por lo que no podrá (…)”. “Es una magnífica noticia de la que se dará cuenta propia pormenorizadamente en nuestra próxima asamblea del mes de agosto”, mientras que en “aquí puede ver la sentencia” no figura nada, declarando el reclamado que ha sido deshabilitado el link. En el 2, también se aprecia esa mención. 2) Añade que la publicación se efectúa en base al artículo 6.1

1. f)del RGPD. El tratamiento de datos es necesario, pues la comunicación pública es imprescindible para la consecución del interés legítimo que se persigue. Ostenta un interés legítimo en denunciar públicamente unos hechos graves cometidos por (…) del Club, los cuales dañaron la imagen de la entidad y de su patrimonio, siendo el contenido de la sentencia contundente al reconocer no solo irregularidades sino incluso actuaciones que podrían suponer un ilícito penal. En cuanto a la ponderación de los derechos e intereses en conflicto se van a tener en cuenta: La información es veraz en tanto aparece incorporada en una resolución judicial no revocada a día de la fecha, la sentencia no contiene ningún dato sensible, al contenido de la sentencia tuvo acceso el público, no a través de las publicaciones efectuadas por el reclamado sino de los medios de comunicación social. 3) Adjuntan copia de información divulgada por medios de comunicación social como documentos 3,4,5 y 6 (diarios digitales (…), “***DIARIO.1”, “***DIARIO.2” y “***DIARIO.3” indicando que todas ellas son previas a la publicación realizada “por esta entidad el día ***FECHA.4”. Así figura una de ***FECHA.5 del “***DIARIO.2” con el nombre del reclamante y el titular (…). La noticia comenta diversos aspectos de la resolución judicial conectados con la gestión del Club. Indica que la difusión en su página de FACEBOOK solo alcanzó a 444 personas. documento 7, y que la noticia que se insertó en la página web del Club alcanzó a 138 personas, documento 8. TERCERO: En fecha 13/03/2020, tras analizarse la documentación que obraba en el expediente se dictó resolución E/09792/2019 por la Directora de la AEPD, acordando el archivo de la reclamación. La resolución fue notificada al reclamante y reclamado, al primero en fecha 15/06/2020, considerando la suspensión de plazos debido al estado de alarma, y según aviso de recibo que figura en el expediente. CUARTO: En fecha 8/07/2020 tuvo entrada en la AEPD recurso de reposición RR 302/2020 del reclamante contra la resolución de archivo, en el que muestra su disconformidad con la resolución impugnada, argumentando -entre otros razonamientos-, que la sentencia continúa publicada en la página web del reclamado a 29/06/2020 a través del siguiente enlace: ***URL.1, resultado de introducir en el buscador GOOGLE las palabras “sentencia ***SENTENCIA.1”, (pág194/220) siendo la web encontrada del reclamado. Acompaña el resultado de la búsqueda con impresión de pantalla y el acceso a un pdf de 21 páginas con la sentencia como documento 1 y 2, con la impresión de la fecha en la parte izquierda de la hoja. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 El recurso se firma el 17/12/2020, estimándose y acordando la admisión a trámite de la reclamación. QUINTO: Con fecha 24/03/2021, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a REAL CLUB NAÚTICO DE RIBADEO, con NIF G27122514, por la presunta infracción del artículo 6.1 del RGPD de conformidad con el artículo 83.5.
2. a)del RGPD. “a los efectos previstos en el art. 64.2
3. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa de 6.000 euros (seis mil euros) sin perjuicio de lo que resulte de la instrucción.” En cuanto a la notificación del acuerdo de inicio, figura en el expediente el certificado del prestador del servicio de notificaciones y dirección electrónica habilitada, de la Fábrica Nacional de Moneda y Timbre del 5/04/2021, de que se envía la notificación al reclamado con puesta a disposición 25/03/2021 y fecha de rechazo automático 5/04/2021 que se produce tras haber transcurrido 10 días naturales desde su puesta a disposición para su acceso según el párrafo dos artículo 43 de la ley 39/2015 de 1/10. No se reciben alegaciones. SEXTO: Con fecha 10/11/2021 se formula propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a REAL CLUB NÁUTICO DE RIBADEO, con NIF G27122514, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, y a efectos de prescripción en el artículo 72.1.
4. b)de la LOPDGDD con una multa de 6.000 euros.” En la misma se indicaba: “La presente propuesta se envía mediante correo postal con el fin extraordinario que conozca la notificación, si bien la Ley 39/2015, de 1/10, de Procedimiento Administrativo Común de las Administraciones Públicas, (LPCAP) establece la obligación para las personas jurídicas, entre las que se encuentran las asociaciones, de relacionarse electrónicamente con las Administraciones Públicas. Al mismo tiempo, con la finalidad de que se produzca el efectivo cumplimiento de las medidas que puedan consignarse en la resolución, caso de confirmarse la infracción, para que no se reitere la infracción o deje de producirse, ya que de acuerdo con el artículo 58.2
5. d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Se le hace saber asimismo que la resolución le será notificada electrónicamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 SÉPTIMO: Con fecha 2/12/2021, se reciben alegaciones en las que manifiesta: 1) La situación que dio lugar a la denuncia, tiene origen en un conflicto existente entre la (...) de la que formó parte el reclamante y la que le precede (reclamante durante el periodo X-XX-XX al X-XX-XX y B.B.B. durante el periodo X-XX-XX al XX-XX-XX). Esta nueva (...), desde su toma de posesión, hasta la llegada de la propuesta de resolución, solo era conocedora de que, al final del mandato de su antecesora, se había iniciado por la AEPD un expediente a instancia del reclamante, “y que este había sido archivado tras cumplir el Club las indicaciones de la Agencia.” Es por tanto ahora, cuando esta (...) tiene conocimiento de la reapertura del expediente ya que no fue informada de ello por el reclamante ni le llegó notificación alguna de la AEPD. No se ha recibido, o al menos no hay constancia de ello, ninguna notificación telemática sobre este particular, así las cosas, hay que señalar que tiene activado un correo para interactuar con la Agencia Tributaria, desde el día 27/12/2019, siendo el recurso de reposición de fecha 1-07-20 y la admisión a trámite de la reclamación de 17-12-20. Aporta un “justificante mantenimiento datos teléfono y dirección electrónica para recibir avisos de la AEAT “, en que el proporcionan una dirección de correo electrónico y un teléfono móvil para envío de avisos informativos, y sendas cruces en el apartado de ALTA. 2) Prescripción de la infracción. Denuncia de 24/09/2019, que dio lugar a la resolución notificada al reclamante el 15/06/2020, E/9792/2019, que recurre en reposición, resolviéndose el 17/12/2020 la admisión a trámite de la reclamación. Con fecha 24/03/2021 se acordó “reiniciar el procedimiento que no ha sido efectivamente notificado a esta parte hasta el 18/11/2021, es decir dos años y dos meses después de la denuncia inicial, un año y cinco meses desde el recurso de reposición.” “No habiendo plazo para el “día a quo”, es necesario acudir a la norma supletoria aplicable, el artículo 30, apartado 2, de la Ley 40/2015, de 1/10, indica que ''el plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora”' “El plazo prescripción para multas inferiores a 40.000 euros es de un año según Reglamento (UE) 2016/679 y artículo 78 Ley Orgánica 3/2018, de 5 de diciembre. Según el Artículo 75. Interrupción de la prescripción de la infracción: “Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reiniciándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” 3) “Carácter público del ***PUESTO.1 de la entidad”, el ***PUESTO.1 “(…) de la entidad y al que le encomienda su estatuto (textualmente) (…). Menciona el artículo XX de los estatutos que correlaciona la representación del ***PUESTO.1 del Club ante personas físicas o jurídicas, (…). Aporta copia de los Estatutos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 4) El reclamante (…) como ***PUESTO.1 del Club y como (…) años antes de las circunstancias descritas. Se puede hacer una rápida consulta por el navegador de internet, de modo que la persona tiene (…). Acompaña cuatro urls de noticias de varios años antes de la publicación de la sentencia en su web. Los hechos relacionados en la sentencia crearon una situación de enorme conflictividad y tuvo dentro del Club, y por ende “en la localidad de Ribadeo y comarca” una gran trascendencia pública, tanto por la relevancia de los personajes como de la propia institución. El conflicto tuvo un amplio seguimiento en los medios de comunicación publicando todas las partes las vicisitudes de todos y cada uno de los pormenores del conflicto. Los hechos relacionados con la imputación causaron una relevante consternación en la zona y especialmente entre los socios. Son múltiples los enlaces de noticias que siguen el procedimiento desde el primer momento. 5) El procedimiento judicial no solamente se dirigía frente a él sino también por haberse expulsado (...) que se tramitaron en procedimientos diferentes con distintos resultados. Si bien al (…) en la sentencia de primera instancia se declaró la nulidad de la (…), la (…) revocó la sentencia, que ha confirmado (…). Sin embargo, hay que señalar que las resoluciones contenían elementos inculpatorios y exculpatorios y se consideró que su publicación resultaba que ofrecía la información más objetiva, sin que ningún dato personal diferente de los que ya estaban en los medios de comunicación trascendiera, ya que el único dato personal era el nombre del (…). Hay multitud de enlaces que recogen el devenir del procedimiento en el que el propio interesado, a pesar de no ostentar el cargo, hace declaraciones públicas sobre el mismo, sin poner reparos a que se le mencione por su nombre, incluso se incorpore una fotografía a la noticia, por ejemplo en la noticia del 20XX sobre la primera resolución judicial del Juzgado, figura la noticia de que un juez anula la sanción contra el (…) del Club náutico de Ribadeo y de la noticia se hace eco el “(…)”, cuando “(…)” Aporta copia del link en el ***DIARIO.2. También en los medios de comunicación locales y provinciales se informó de la resolución de la Audiencia (…) que la dotan de cierta complejidad porque corrige, la anterior y declara procedente (…), y también recoge elementos exculpatorios. Aporta un link del diario ***DIARIO.2 en el que indica la noticia que se transpone: (…). (...). También la sentencia (…) en la noticia que aparece figura el nombre íntegro del (…). Aporta el link ver la noticia de ***DIARIO.3 sobre esta resolución (…). 6) Existe interés legítimo del reclamado en el tratamiento amparado en el artículo 6.1.
6. f)del RGPD, aludiendo a que fue una situación controvertida entre las dos anteriores (...) que dieron lugar a la anulación de las sanciones al ***PUESTO.2 y al ***PUESTO.3 pero que mantuvieron la (…) del ***PUESTO.1. Existía evidente interés legítimo en velar por el prestigio de la entidad que obviamente incluye su imagen pública siendo el (…) un personaje público, reiterando su relevancia pública que deriva de los Estatutos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Se consideró por el entonces ***PUESTO.1, adecuado trasladar el texto íntegro de la sentencia en la página de internet del Club para mayor información de sus socios, puesto que todo este asunto estaba causando un enorme revuelo en la entidad y es un medio proporcionado, considerando que no se contiene “ninguna información personal que afecte a la vida privada del (…) expulsado, personaje público”, haciéndose eco los medios de comunicación desde la primera resolución que le fue favorable. Una traslación parcial de la información podía haberse interpretado como un sesgo a favor de la actuación de la, en aquel momento nueva (...), ya que “no se pueden probar todas las irregularidades detectadas”. La publicación en su integro contenido en los medios informáticos pretendía la veraz información sobre lo ocurrido, acción proporcionada al fin perseguido, de especial relevancia para los 900 socios, más de la mitad residen fuera de Ribadeo, e interesados en las actividades del Club, que por ser en gran medida veraneantes que solo residen un tiempo, no tenían fácil alcance de ser conocidas al ser publicadas en medios locales y regionales. 7) “En la resolución que se nos traslada, no existe ni un solo dato personal que afecte a la vida privada del denunciante”. No constan ni dirección domiciliaria, correo electrónico o número de identificación personal. “La información que consta en la sentencia viene referida en la prensa regional con amplio detalle” 8) “Esta (...) contacta con el técnico que mantiene la página y le pide que compruebe los hechos y elimine cualquier acceso que pudiera haber quedado oculto a la sentencia”, “encuentra el archivo de la sentencia en la biblioteca de medios por lo que el documento aunque ya no era accesible desde la web, seguía estando disponible a través de enlaces indexados en los buscadores, borrando el archivo de la carpeta.” “Ya no es accesible desde los buscadores”. Considera que en el momento en que cancelaron de la web no tenia conocimientos adecuado porque desconocía la existencia de la biblioteca de medios , y aunque obraron de buena fe, no conocía ese aspecto, considerando que no concurre dolo. Una llamada al Club podría haber conducido a la eliminación definitiva del archivo. “La reapertura del expediente se produce por la pervivencia de un canal indirecto-Google- por el que se seguía accediendo a la sentencia, debido a un error técnico., no a mala voluntad , y al Club no le llegó notificación alguna del problema. 9) La entidad es una asociación deportiva, sin animo de lucro. Aporta, además: - Las noticias que resultan de los links señalados. -Copia de “acciones en la web del reclamado” en la que se expone que se dio orden de borrar el documento, que revisa la web y que se “había borrado de la web, la entrada en la que aparecía dicho documento y hasta había eliminado de la papelera de entradas. Pero, seguramente por desconocimiento en la materia, no había eliminado el documento de la página de medios. Por lo que el documento, aunque no desde la web, seguía estando disponible desde enlaces indexados en los buscadores” “Se procedió a la eliminación inmediata de dicho documento de la zona de medios, siendo ya totalmente inaccesible”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 HECHOS PROBADOS 1) Con fecha 24/09/2019, el reclamante reclama contra el reclamado por figurar expuesta en abierto en formato pdf, en su página web y en su Facebook, a 3/05/2019, una sentencia de la (…) de ***FECHA.1 que contiene sus datos personales, manifestando además, que había sido recurrida (…). La sentencia resuelve a instancia del reclamado el recurso sobre la sanción de suspensión de la ***CONDICIÓN.1 de tres años con (…) que había sido impuesta por el reclamado. El reclamante fue en el periodo ***PERIODO.1, ***PUESTO.1 del Club reclamado, y la sanción se origina porque la nueva (...) surgida de las elecciones de noviembre XXXX detecta una serie de irregularidades que acaban en la sanción impuesta al reclamado. La sentencia repasa las actuaciones del reclamante en distintos asuntos relacionados con la gestión del Club (…), su repercusión con (…) del Club, y si aparece justificada la sanción. En la sentencia se hace identificable al entonces ***puesto.2 del Club, informando también se le siguió expediente disciplinario. 2) Si bien tras el traslado de la reclamación al reclamado que hace la AEPD, señaló el reclamado el 14/01/2020 que había anulado los enlaces de acceso al texto íntegro de ambos enlaces, el reclamante acredita, introduciendo el 29/06/2020 en el buscador GOOGLE las palabras “sentencia ***SENTENCIA.1” la devolución de la url ***URL.1, que se trata de pdf de 21 páginas con la sentencia objeto de reclamación. 3) Los medios de comunicación digitales (…) expusieron la noticia de la sentencia como ejemplo, el ***FECHA.5 con el nombre del reclamante y el titular “(…)” y que el reclamante expresa que la recurrirá (…). La noticia comenta diversos aspectos de la resolución judicial conectados con la gestión del Club. 4) Tras la propuesta, la reclamada manifiesta que quitó el documento que posibilitaba el acceso en el buscador. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Sobre que no se notificó el acuerdo de inicio, existe en el expediente un certificado de la Fabrica Nacional de Moneda y Timbre que verifica su puesta a disposición, con respecto a una entidad obligada a comunicarse con estos medios. También se acredita que en otras ocasiones los envíos telemáticos se han producido al reclamado, y tampoco accedió a los misC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 mos. El modo de envío de la propuesta se hizo con el fin de facilitar el conocimiento y defensa de sus derechos para evitar de nuevo la no recogida del envío. El acuerdo de inicio notificado y el transcurso del tiempo sin acceder al mismo produce los efectos de haberse notificado. En cuanto a la prescripción de la infracción, se toma como fecha final de la misma, y como mas favorable al reclamado, ya que no aporta fecha de realización del borrado de datos, la de la propuesta notificada, que sirve para la cesación de la infracción: 18/11/2021, y esta infracción lleva un plazo de prescripción de tres años, de acuerdo al artículo de la LOPDGDD. Contando desde cualquier fecha, interposición de la reclamación: 24/09/2019, fecha en que respondió al traslado, o la de 14/01/2020 en que manifestó que se habían eliminado los datos, o desde la fecha de acuerdo de inicio del procedimiento sancionador, 24/03/2021, la infracción no se hallaría prescrita, al serle de aplicación el artículo 72.1.
7. b)de la LOPDGDD. III El RGPD define en su artículo 4: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; El reclamado expone una sentencia integra con los datos de una persona, socio del Club al que (…), y (…) del Club que figuró en dos espacios, la web y FACEBOOK del reclamado, si bien a partir de 29/06/2020, solo remite a la web del reclamado cuando se hace una búsqueda en el motor de búsqueda GOOGLE con los términos “sentencia ***SENTENCIA.1” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 La reclamada había manifestado en el traslado previo que había quitado los enlaces cautelarmente a la sentencia. Estos hechos suponen la comisión del reclamado de una infracción del artículo 6.1 del RGPD que indican las bases legitimas para el tratamiento: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
8. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
9. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
10. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
11. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
12. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
13. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” El reclamado, parte en el procedimiento judicial civil, instaura las medidas técnicas y organizativas y decide como responsable posibilitar el acceso a la sentencia integra con todos los datos personales al agregarla a su página web y en FACEBOOK. Probablemente no se desindexó adecuadamente y se posibilita el acceso a través de motores de búsqueda, arrojando el mismo literal que cuando existían los enlaces. La sentencia trata los datos del reclamante en relación con la impugnación de la sanción disciplinaria impuesta por el reclamado, asociación deportiva. La (...) del Club que sucedió a la del reclamante, detectó una serie de irregularidades e incoó el citado expediente disciplinario. La sentencia repasa las actuaciones del reclamante imputadas reprochándole sus conductas en la gestión de los asuntos del Club. Alude al derecho de asociación y al ámbito privado disciplinario y a la aplicación y legitimidad estatutaria del Club. El reclamado es el que la expuso en abierto, no solo para los socios, la sentencia. Aduce en el traslado de la reclamación que hubo en su día, como base legitimadora, el artículo 6.1.
14. f)del RGPD al considerar que debe prevalecer su derecho de información y tiene interés legítimo en comunicar al público en general los hechos, (…), añadiendo que días antes varios medios de comunicación escrita se habían hecho eco de la noticia identificando al reclamante con los hechos. Para ser legitimo el tratamiento de datos con base al interés legítimo, se deben cumplir tres requisitos acumulativos, a saber, en primer lugar, que el responsable del tratamiento o el tercero o terceros a los que se comuniquen los datos persigan un interés legítimo; en segundo lugar, la necesidad del tratamiento de datos personales para la satisfacción del interés legítiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 mo perseguido, y, en tercer lugar, el requisito de que no prevalezcan los derechos y libertades fundamentales del interesado (sentencia de 4 de mayo de 2017, Rīgas satiksme, C13/16, EU:C:2017:336, apartado 28). En este caso, la concurrencia de dos derechos fundamentales reconocidos en la Constitución: el derecho fundamental a la protección de datos de carácter personal de las personas cuyos datos aparecen recogidos en las resoluciones judiciales, principalmente el reclamante y el derecho fundamental a la libertad de información de la asociación, del Club que publica colisionan y el reclamado considera que ostenta el derecho a la citada exposición. Sin embargo, la relevancia del cargo y responsabilidad del reclamante no es de carácter público, es una asociación, de hecho la noticia es ofrecida en diarios locales, tampoco es un asunto penal, sino civil que atañe a los socios del Club, y se ha de cuestionar si dicha finalidad de informar puede ser factible sin exponer datos personales contenidos en una sentencia en la que se ha sido parte reclamada y al mismo tiempo instructor del disciplinario, y si ello es conforme con el principio de proporcionalidad y adecuación en el uso de los datos. Por otro lado, esta prevalencia entre derechos se debe fundar en excepciones a la aplicación de las normas de protección de datos “sólo en la medida en que resulten necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión y de información”. En este sentido, y expresándonos en la terminología establecida en la LOPDGDD, las excepciones a la aplicación de dicha norma deben entenderse como manifestaciones del principio de proporcionalidad, consagrado por el artículo 5.1
15. c)de la Ley Orgánica, a cuyo tenor “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Quiere ello decir, que deberá considerarse lícita la divulgación de información que contenga datos de carácter personal en los supuestos y ámbitos en que dicha revelación resulte adecuada, pertinente y no excesiva en relación con el libre ejercicio de la libertad de información. De este modo, la información a divulgar debería ser la que resulte necesaria para que informaciones que revistan la relevancia a los intereses de la asociación puedan ser conocidas por sus miembros, entendiendo relevancia pública como la que sirve al interés general en la información y lo hace por referirse a un asunto público como hechos o acontecimientos que afectan al conjunto de los ciudadanos. No obstante aquí no se trata de expresar información o comunicar unos hechos que no se discuten sean reales, sino un documento, la sentencia integra en abierto, con todos los detalles, no aspectos o comentarios de la misma, que se exponen fuera del círculo de los socios del Club, a los que les son aplicables los Estatutos, y en formato pdf que supone mas versatilidad en el envió, descargas y reenvío. La información de la gestión de la asociación, el quebranto de sus bienes o patrimonio afecta a los 900 asociados a dicha entidad, al círculo al que alcanza la gestión de esos intereses y a ellos se podía haber informado del sentido de la misma. La reclamada indica que como muchos de los socios no residen en el municipio, y que la publicación integra contribuye a la objetividad de la información, siendo motivos para que se exponga. No se discute que puede tener importancia y que son los socios los que han de estar informado y podrían haber tenido conocimiento, si bien se podía y se debía haber limitado el ámbito de exposición, conocimiento, solo a los asociados, no existiendo necesidad de divulgación universal de la misma, en el citado formato. Con la exposición de da a conocer los datos del reclamante en el ejercicio de sus funciones privadas de la asociación y la información de su gestión que atañe a los asociados en una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 cuestión civil. No se cumple la proporcionalidad en el tratamiento para la finalidad de informar a los socios y no se contemplan los derechos afectados del reclamante, por lo que no puede acogerse la prevalencia del interés legítimo en la exposición en abierto de la sentencia de lo civil integra y su consulta posible en el motor de búsqueda. Por otro lado, que las actuaciones judiciales sean públicas, no justifica que esos datos fueran revelados en un ámbito distinto al proceso judicial, y que se expongan además de una forma completa fuera del ámbito en el que propiamente es el afectado y concernido por las actuacio-nes del (…). Ha sido el reclamado el que ha decidido incorporar a su web la copia de la sentencia efectuando una operación técnica en la que ha posibilitado que cualquier persona pudiera tener conocimiento de la sentencia integra con los datos del reclamante. Para ello, el reclamado asoció la sentencia a su web, considerándose que el tratamiento automatizado por el que ofrece en su web y a través del buscador la obtención de la sentencia es un tratamiento de datos. En el presente caso, además, la sentencia no era definitiva, estaba pendiente de su recurso. El reclamado trata los datos del reclamante exponiendo la totalidad de la sentencia en su web en abierto, no restringido a sus socios. En este caso, el ejercicio de información del reclamado solo se relaciona con las facultades que representa, de sus asociados y la gestión que se relaciona con estos. La prevalencia del derecho a la libertad de información sobre el derecho de protección de datos debe interpretarse coherentemente con lo dispuesto en la normativa de protección de datos, considerando esta excepción a la aplicación de las normas de protección de datos solo en la medida en que resulten necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de expresión e información. En tal sentido, para informar, en este caso se utiliza la sentencia integra, tratando completamente todo lo relacionado con el asunto de manera no pertinente y excesiva por una entidad que representa los intereses de un grupo, particulares, una asociación no de carácter publico, y tratando los datos para todas las personas al disponer el acceso universal en su web, no siendo un asunto penal sino interno disciplinario, considerando que el tratamiento que tiene lugar a través de la incorporación y automatización de la consulta en su web, no responde al esquema del articulo 6.1.
16. f)del RGPD al no prevalecer el derecho a conocer la sentencia integra por cualquier persona, sobre el derecho del afectado a su intimidad, dados los amplios términos en que se produce, no necesarios en su difusión universal cuando afectaba a los intereses y gestiones de los asociados. El ***PUESTO.1 representa a la institución, tanto en ámbitos públicos como privados, frente a personas físicas o jurídicas, privadas o públicas, lo que no significa que sea u ostente de por si una representación publica como alega el reclamado. El derecho fundamental del reclamante, a que sus datos no sean utilizados ni de forma sorpresiva, ni en redes sociales, o web asociados a una sentencia integra con acceso para terceros debe pues prevalecer a la exposición general obtenida de la búsqueda. Por tanto, no se estima la alegación del reclamado de legitimación del tratamiento de datos de la publicación de la sentencia integra del reclamante como facultativa en base a si interés legítimo alegado IV El artículo 83.5
17. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
18. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
19. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; La infracción figura tipificada en el artículo 72 de la LOPDGDD, que indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
20. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” V La determinación de las sanciones que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
21. a)a
22. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
23. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
24. b)la intencionalidad o negligencia en la infracción;
25. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
26. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
27. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
28. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
29. g)las categorías de los datos de carácter personal afectados por la infracción;
30. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
31. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
32. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
33. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
34. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
35. a)El carácter continuado de la infracción.
36. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
37. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
38. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
39. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
40. f)La afectación a los derechos de los menores.
41. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16
42. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción del artículo 83.5.
43. a)del RGPD, de la que se responsabiliza al reclamado, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del reclamado: -Artículo 83.2.
44. a)RGPD:  Naturaleza, gravedad y duración de la infracción teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido. Originariamente, la sentencia íntegra, pese a la posibilidad de poderse recurrir, figuraba expuesta a la vez en dos enlaces, la web y la página de FACEBOOK, no implementando a la postre un eficaz mecanismo de eliminación de los datos. -Artículo 83.2.
45. b)RGPD. “Intencionalidad o negligencia en la infracción”: Aspecto que relaciona la ejecución de la acción con el sujeto, en el sentido de, no solo imputabilidad de la infracción a su responsable, sino el hecho de poder agravar o reducir la sanción según el grado de culpabilidad. En cuanto a la imputabilidad al sujeto responsable, el principio de culpabilidad, impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, si bien también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente lo que es suficiente para integrar el elemento subjetivo de la culpa. Lo que en este apartado se valora, es su análisis para la graduación de la sanción (art 40 LRJPAC), observando la especifica diligencia desplegada en la acción por el responsable, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. La sucesión en las (...)s no exime de la responsabilidad administrativas por las acciones producidas en las precedentes, ni puede suponer un eventual cambio, un borrón en la exigibilidad de conductas que se han producido y que se reconocen. Teniendo la reclamada la posibilidad de haber obrado de modo distinto al que lo hizo, se trasladó la reclamación y no se eliminaron todos los enlaces a la sentencia, acreditando falta de diligencia. -Artículo 83.2.
46. c)“cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados” No acertando a la eliminación de los datos, se deduce que no disponía de medidas adecuadas y eficaces para eliminar los datos. Considerando los factores expuestos, la valoración que alcanza la multa por la infracción imputada es de 6.000 euros, sin perjuicio de lo que resulte de la instrucción del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a REAL CLUB NÁUTICO DE RIBADEO, con NIF G27122514, por una infracción del artículo 6.1 del RGPD, de conformidad con en el artículo 83.5
47. a)del RGPD y el 72.1.
48. b)de la LOPDGDD, una multa de 6.000 euros. SEGUNDO: NOTIFICAR la presente resolución a REAL CLUB NÁUTICO DE RIBADEO. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
49. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
50. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-26102021 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es