PS-00528-2024

1/25  Expediente N.º: EXP202311217 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de julio de 2023 se interpuso la reclamación ante la Agencia Española de Protección de Datos dirigida contra EMPRENDEDORES ONLINE, LLC con NIF 2018-000816381 (en adelante, la parte reclamada o EMPRENDEDORES). Posteriormente, se presentaron cuatro reclamaciones (la parte reclamante) más dirigidas contra dicha entidad, siendo la última de fecha 20 de noviembre del mismo año. Los motivos en que basan las reclamaciones son los siguientes: Los reclamantes exponen que en diciembre de 2022 compraron un curso para vendedores de ***EMPRESA.1 a la empresa estadounidense Emprendedores Online LLC. Exponen que dentro de la plataforma del curso se graban videos de las mentorías realizadas por la APP Zoom, y los videos de los alumnos quedan grabados sin consentimiento por tiempo indeterminado. No aportan evidencia documental. Manifiestan que en la plataforma DISCORD distribuyeron un archivo Excel con más de 1000 registros (aportan copia del archivo "***ARCHIVO.1"), con datos personales, incluyendo cuentas bancarias, para realizar ventas pactadas, práctica prohibida por las políticas de ***EMPRESA.1. Según indican, alrededor de marzo de 2023 la directora de la mercantil española reclamada, que forma parte de la organización de la compañía estadounidense, fue responsable de una brecha de datos personales, al compartir, con una cantidad de usuarios imposible de determinar, otro archivo Excel en la plataforma Google Drive (aportan copia del archivo "***ARCHIVO.2", con datos personales de más de 1100 alumnos que reclutaron en menos de 1 año, incluyendo conversaciones entre los alumnos y los entrenadores). Manifiestan que en los primeros meses del 2023 solicitaron la baja por no estar conformes con las mentorías, solicitando información sobre los responsables de la seguridad de los datos y además solicitando que borraran todo lo referente a sus personas. Junto a las reclamaciones se aporta capturas de pantalla del archivo "***ARCHIVO.2" así como la copia del archivo "***ARCHIVO.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/25 En este archivo se contiene los siguientes datos de los colaboradores: nombre y apellidos del colaborador (con la indicación siguiente: nombre+mentor+nº de grupo), números de teléfono, método de pago y una columna de observaciones en la que se contiene información adicional como lugar de residencia, correo electrónico o número de cuenta corriente. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a EMPRENDEDORES para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada ha dado respuesta a la solicitud de información en fecha 22/09/2023, si bien, de la información facilitada se infiere una posible vulneración de la normativa de protección de datos. TERCERO: Con fecha 8 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite cuatro de las cinco reclamaciones presentadas y en fecha 5 de diciembre de 2023 la quinta. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: (…) Algunas reclamaciones manifiestan que A.A.A. forma parte de EMPRENDEDORES, y basa esa afirmación copia de un correo electrónico que aporta, enviado desde ***EMAIL.1, en el que A.A.A. manifiesta “Soy (…) […]”. En la red social Skool se encuentra asociación entre A.A.A., B.B.B. y EMPRENDEDORES, como muestran las imágenes de la “(…)” asociada al expediente. A.A.A. consta en el Registro Mercantil de Huesca como socio y administrador único de ***EMPRESA.2. Como parte de la investigación se asocia al expediente la “Diligencia web (…)”, de 24 de enero de 2024, en cuya imagen 2 puede leerse que A.A.A. incluye en su currículo ser “(…) de emprendedores.com”. Sin embargo, A.A.A. niega formar parte de EMPRENDEDORES, y manifiesta haber participado en el curso porque ***EMPRESA.2 tenía un contrato mercantil con la primera, y aporta [C6], que lleva fecha 7 de junio de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/25 EMPRENDEDORES manifiesta lo siguiente respecto de la relación con A.A.A.: “Respecto a la información relevante que se requiere por parte de la Agencia de Protección de Datos entre EMPRENDEDORES ONLINE LLC y ***EMPRESA.2, cabe decir que la titular y con quien se tenía la relación jurídica es con A.A.A., persona que se encargaba de la gestión de la empresa. En resumidas cuentas, ejercía funciones de dirección de la empresa, siendo la directora de la misma.” Las diferentes manifestaciones y documentación aportada por las partes evidencian que B.B.B. (…) de EMPRENDEDORES. Aparece en numerosos vídeos de los canales de emprendedores.com en YouTube e Instagram, así como en numerosas entrevistas en otros medios de comunicación (Forbes, ABC, COPE, El País, EL MUNDO, y otros). Se menciona también en las reclamaciones a C.C.C., que aparece como destinatario y remitente de algunos de los correos y es (…). Contratos asociados al curso “***CURSO.1”: Los diferentes reclamantes manifiestan haber abonado el importe del curso “***CURSO.1” a impartir por EMPRENDEDORES; se aportan los contratos firmados por esos reclamantes y por B.B.B. como “(…)”, así como la factura en que aparecen los datos de ambas partes. Esos contratos indican en la sección 4.3: “[…] Este acuerdo se regirá e interpretará únicamente de acuerdo con las leyes del estado de Utah, Estados Unidos. Las partes acuerdan que cualquier demanda, acción o procedimiento que surja de, o se relacione de cualquier manera con este acuerdo, se presentará en Utah […]” Por su parte, EMPRENDEDORES aporta Anexo 1 del Contrato, que corresponde a un modelo (no lleva firmas) de contrato para ese curso que presenta algunas diferencias con los aportados por la parte reclamante. La parte reclamante no aporta contratos con ***EMPRESA.2, quien a su vez manifiesta que no tuvo relación contractual con los alumnos, sino que participó en el curso según estipula su contrato con EMPRENDEDORES. Solicitados los contratos entre EMPRENDEDORES y ***EMPRESA.2 a ambas empresas, la primera no aporta documentos; la segunda aporta “CONTRATO DE TRATAMIENTO DE DATOS POR CUENTA DE TERCEROS EN CUMPLIMIENTO DE LO ESTABLECIDO EN EL REGLAMENTO (UE) 2016/679 Y LEY ORGÁNICA 3/2018, DE 5 DE DICIEMBRE, DE PROTECCIÓN DE DATOS PERSONALES Y GARANTÍA DE LOS DERECHOS DIGITALES”, entre EMPRENDEDORES y ***EMPRESA.2, firmado en Barbastro el 7 de junio de 2022 por sus representantes, que designa a las partes como responsable y encargado, respectivamente, del tratamiento de los datos personales asociados a la actividad de formación y consultoría estratégica de ventas y establece las cláusulas correspondientes al tratamiento. La cláusula tercera de dicho contrato (Instrucciones del responsable del tratamiento) indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/25 “El ENCARGADO DEL TRATAMIENTO tratará por cuenta del RESPONSABLE DEL TRATAMIENTO los datos personales necesarios para la prestación de servicios derivada de la relación que vincula a ambas partes, de conformidad con las instrucciones documentadas en el ANEXO al presente contrato. Siendo los datos de los usuarios y los medios de tratamiento titularidad del RESPONSABLE DEL TRATAMIENTO.” En la cláusula sexta (Autorizaciones): “El RESPONSABLE DEL TRATAMIENTO autoriza al ENCARGADO DE TRATAMIENTO, a acceder a las plataformas de mensajería y comunicación corporativas […] Siendo los datos de los usuarios y los medios de tratamiento titularidad del RESPONSABLE DEL TRATAMIENTO.” La cláusula séptima especifica las obligaciones del encargado del tratamiento, entre ellas: - - “d. No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del RESPONSABLE DEL TRATAMIENTO, en los supuestos legalmente admisibles.” “f. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto.” “g. Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente. “ “p. Implantar las medidas de seguridad recogidas en el ANEXO al presente contrato. En todo caso, el ENCARGADO DEL TRATAMIENTO deberá implantar mecanismos para […] Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.” La cláusula novena establece las correspondientes a la confidencialidad, entre otras: “2. Cualquier información sobre personas físicas identificadas o identificables, protegida por la normativa sobre protección de las personas físicas en lo que respecta al tratamiento de datos personales.” Respecto de la legislación y el fuero aplicables al contrato, la cláusula undécima indica: “El presente contrato se regirá e interpretará conforme a la legislación española en aquello que no esté expresamente regulado. Si alguna de las estipulaciones o condiciones del presente contrato resultara nula, inválida o ineficaz y no pudiera tener efecto por causa de la legislación aplicable a él, dicha nulidad, invalidez o ineficacia no afectara al resto de las estipulaciones o condiciones. Las partes se someten, para las controversias que pudieran surgir en relación con el presente contrato, a la competencia de los Juzgados y Tribunales de la ciudad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/25 señalada en el encabezamiento del mismo, con renuncia a cualquier otro foro que les pudiera corresponder.” Ficheros “***FICHERO.1” (expuesto en Google Drive): La parte reclamante manifiesta que, en una fecha indeterminada (los distintos reclamantes hacen referencia a los meses de febrero y marzo de 2023), A.A.A. subió el archivo “***FICHERO.1”, con datos personales de alumnos del curso “***CURSO.1” impartido por EMPRENDEDORES, al directorio de Google Drive al que podían acceder todos los alumnos del curso. Los reclamantes aparecen en todos ellos, mientras que uno de ellos no aparece en ninguno. Algunos de esos ocho ficheros tienen tamaños y códigos de integridad (hash) diferentes. Se comprueba que todos ellos están formados por dos hojas, denominadas “General” e “Incidencias”. Las hojas “Incidencias” son idénticas en todos los documentos, mientras que hay tres tipos de hojas “General”, con pequeñas diferencias de contenido también son iguales entre sí, y los contenidos de las celdas de ambos grupos coinciden al 99%; el contenido de la hoja “General” coincide al 97% con las anteriores. Se desconocen las fechas exactas en las que cada uno de los distintos reclamantes obtuvo el fichero “***FICHERO.1” que aporta; a tenor del alto porcentaje de coincidencia no se ha investigado la causa de las diferencias. Los datos personales de los más de 1100 alumnos que aparecen en el fichero “***FICHERO.1” son de los siguientes tipos: - Nombre y apellidos (en algunos registros se nombra a más de una persona). - Correo electrónico. - Número de teléfono. - Observaciones (sólo en algunos casos; información principalmente sobre circunstancias personales y quejas de alumnos descontentos). Los reclamantes aportan también las imágenes que dicen haber tomado de Google Drive, y que identifican como propietario del fichero y del almacenamiento a A.A.A.. Preguntada por la publicación del fichero “***FICHERO.1”, ***EMPRESA.2 manifiesta no tener responsabilidad sobre la puesta a disposición de los alumnos de ese fichero en Google Drive: “Respecto al uso de espacio en Google Drive, ***EMPRESA.2 accede en exclusiva a los archivos que son compartidos por sus clientes (empresas) y que son necesarios para la exposición. Qué archivos, y si entre ellos hay listados de asistentes, lo determina siempre el cliente que ha organizado el evento, en este caso EMPRENDEDORES.COM. El hecho de que en el espacio Google Drive de A.A.A. figure una hoja de cálculo con asistentes a un evento de EMPRENDEDORES.COM puede deberse a que a la hora de abrir el archivo este se haya descargado en el Google Drive como una copia. De hecho, haciendo búsqueda del archivo en el Google Drive de A.A.A., la búsqueda devuelve como existente únicamente “Copia de ***FICHERO.1 ***CURSO.1” (doc.5) lo cual es un indicio que puede corroborar que se recibió C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/25 invitación de compartir este archivo por parte del propietario del mismo en este caso EMPRENDEDORES ONLINE LLC. En todo caso, lo que aporta el denunciante como prueba de que ha tenido acceso al fichero “***FICHERO.1 ***CURSO.1” (doc.6) muestra una captura de un espacio en Google Drive existente que se ha configurado a nombre de A.A.A., pudiéndose haber creado la cuanta por cualquier usuario de Google Drive que haya decidido poner el nombre de A.A.A. sin ser A.A.A.. […] Es EMPRENDEDORES ONLINE LLC. quien comparte con sus colaboradores de venta lo que estima oportuno siendo la fuente de suministro de archivos y compartidos.” Por otra parte, EMPRENDEDORES manifiesta que A.A.A. es la responsable de que el fichero “***FICHERO.1” quedara disponible a los alumnos en Google Drive: “En cuestión, la filtración de datos que se produce en el seno de la empresa es a través de la plataforma Google Drive, y es a consecuencia de que A.A.A., en un archivo que se encontraba propiedad de la empresa en la nube, procede a realizar motu proprio una copia de seguridad, cometiendo el error de atribuirle el alcance de “público”. Este error, que se escapa del control de la empresa, al ser una información interna con la que se trabajó, conlleva a que cualquier persona, en este caso, solamente clientes, que tuviera acceso a ese Google Drive pudiera tener acceso a la información. El motivo por el cual los clientes tuvieron acceso es porque en Google Drive se cuelga el material formativo.” Enviado requerimiento a GOOGLE IRELAND LIMITED para la identificación del propietario de la titularidad de la cuenta y del fichero de Google Drive, aportando la información disponible sobre A.A.A., esa entidad manifiesta no poder proporcionar la información requerida. “Luego, cuando hice la denuncia y otros hicieron lo mismo en la AEPD, el archivo compartido en Google Drive desapareció, lo borraron, pero ya era tarde pues muchas personas habían tenido acceso a esa información.” Al respecto, EMPRENDEDORES manifiesta]: “No obstante, acto seguido en que la mercantil, EMPRENDEDORES ONLINE LLC tiene conocimiento de la situación que se ha producido, implanta las medidas que tiene estipuladas y restringe el acceso a dicha información.” Fichero “***FICHERO.2” (mencionado en Discord): La parte reclamante manifiesta inicialmente que en el grupo de la plataforma Discord utilizado para los cursos, EMPRENDEDORES puso a disposición de los asistentes el documento “***FICHERO.2”. Los datos del fichero “***FICHERO.2” están estructurados en grupos, destacando en cada uno de ellos (filas verdes) el nombre del alumno, el nombre del mentor y número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/25 del grupo a que pertenece el alumno, al que están asociados los nombres de los familiares o amistades del alumno (colaboradores, filas blancas o sin relleno), en número variable (entre dos y veinte personas). En el fichero aparece destacado (“D.D.D., ***EMAIL.2”, fila amarilla). Aparecen identificados 157 alumnos (filas verdes), por el nombre o el nombre y los apellidos. Los datos personales de los colaboradores asociados a cada alumno (filas blancas o sin relleno, en total 743 personas) son de los tipos: - Nombre, o nombre y apellidos. - Relación con el alumno (parentesco, amistad o pertenencia a grupo). - Número de teléfono (la columna indica “Wassap”). - Método de pago (“BIZUM”, “ZELLE”, “PayPal”, “Transferencia”, RIA Transfer”, “WISE”, “Revolut”, “N26”, “IBAN”, “PIX”, “PostaPay”, o combinaciones de los mismos). - Observaciones (detalles sobre pagos, medios de pago, o país de residencia). Algunas personas tienen asociados varios métodos de pago. Aparecen aproximadamente 840 números de teléfono, 18 cuentas de correo electrónico y 12 números de cuenta bancaria, asociados a los medios de pago antes mencionados. Entre los 157 alumnos que aparecen en el fichero “***FICHERO.2” se identifican por sus nombres y apellidos a varios de los alumnos que aparecen en el fichero “***FICHERO.1”. Sin embargo, en “***FICHERO.2” no se encuentran los datos de ninguno de los reclamantes. ***EMPRESA.2 manifiesta: “La recogida, registro, organización, estructuración, conservación o almacenamiento, adaptación o modificación, comunicación por transmisión, difusión, comparación o cotejo, utilización, limitación, supresión y destrucción de los datos de los clientes, se realizó siempre por parte de EMPRENDEDORES ONLINE LLC, como Responsable del Tratamiento. Ya que eran quienes determinaban los fines y quienes ponían a disposición los medios para el tratamiento de datos personales de los clientes, a través de accesos a Google Drive, Zoom, Instagram, YouTube, Discord u otros. Mi representada se limitaba a consultar los datos de venta, pero no recogía, ni almacenaba ni llevaba a cabo cualquier otra actividad de tratamiento posterior. La razón es sencilla: los asistentes a los eventos no son clientes de mi representada, y, por ende, los aquí reclamantes no contrataron ningún servicio de ***EMPRESA.2.” Requerida para que aporte información sobre la difusión de ficheros con datos personales del curso de formación “***CURSO.1” y de terceras personas a través de Discord, EMPRENDEDORES no realiza manifestaciones ni aporta la información solicitada. Grabaciones de las sesiones a través de ZOOM (compartidas en WISTIA): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/25 La parte reclamante manifiesta que las sesiones formativas del curso “***CURSO.1”, realizadas a través de ZOOM, fueron grabadas y puestas a disposición de los participantes, sin consentimiento de los alumnos. Uno de los reclamantes manifiesta que dispone de al menos 50 de esos vídeos, aunque solamente aporta una URL. La investigación ha permitido confirmar que la grabación de la sesión de vídeo en que uno de los reclamantes manifiesta aparecer junto a su esposa y cuyo enlace proporciona (***URL.1) permanece accesible en internet a fecha 29 de noviembre de 2024 . La Sección 3, “Mantendré el contenido confidencial”, de los contratos entre particulares (alumnos) y EMPRENDEDORES para el curso “***CURSO.1” indica: “1. Entiende que, al participar en nuestro Programa, estará expuesto a Nuestro contenido, currículum, proceso de capacitación, áreas de membresía privada y eventos en vivo, todo lo cual es nuestro contenido exclusivo y propiedad intelectual protegida. Usted comprende que todas y cada una de las ideas, el contenido y los procesos en este Programa son propiedad intelectual privada y protegida del Proveedor […] 2. […] podemos utilizar sus historias o presentaciones con fines promocionales, a nuestra discreción, en todo o en parte, en cualquier medio del mundo, sin notificación, revisión, aprobación o compensación para usted. Esta autorización incluye el derecho del Proveedor a utilizar su nombre, voz, imagen, película, video, grabaciones, declaraciones, o cualquier trabajo derivado, en todos los medios. Esta autorización de uso de imagen, caso de éxito, testimonio o experiencias será gratuita […] 3. Comprende que cualquier comunicación con el Proveedor puede ser monitoreada o registrada para su desarrollo personal y nuestra revisión interna de calidad y desarrollo de los empleados.” Ámbito territorial: EMPRENDEDORES es una empresa establecida en Estados Unidos. Sin embargo, la investigación evidencia que sus actividades estaban, en el momento de la brecha, dirigidas a personas hispanohablantes, siendo la mayoría de ellas residentes en España: - En la página web (https://emprendedores.com/data-protection/) aparece actualmente: “EU General Data Protection Regulation (GDPR) Protection Law The GDPR (General Data Protection Regulation) protection law describes how organizations who conduct business with individuals or entities located in EU (European Union) nations — including Emprendedores.com — must collect, handle, and store personal information.” - La mayoría de las numeraciones telefónicas encontradas en los archivos “***FICHERO.1” y “***FICHERO.2” presentan el prefijo internacional +34; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/25 - La parte reclamante aporta diferentes contratos del curso “***CURSO.1” con EMPRENDEDORES en los cuales se menciona “Bonus Visita a nuestros proveedores en Cobo Calleja”, conocido polígono industrial situado en Fuenlabrada (Madrid). Preguntada en requerimiento para que proporcione información sobre su representante en la Unión Europea, en los términos del artículo 27 del RGPD, EMPRENDEDORES no contesta. Políticas de protección de datos personales: Solicitada información sobre medidas organizativas y técnicas relacionadas con la protección de datos personales, EMPRENDEDORES proporciona los siguientes documentos, todos con fecha 24 de mayo de 2021: - Análisis de riesgos (en adelante AR). - Evaluación de impacto (en adelante EIPD). - Documento de medidas técnicas y organizativas. Al analizar esos tres documentos: Se encuentran inconsistencias en los tipos de datos objeto de tratamiento indicados: - El AR indica que se tratan “Datos de carácter identificativo (nombre, apellidos, email, sitio web); Datos económicos, para los usuarios que realicen un pago. Únicamente se recaban los datos necesarios y de forma segura, pero dicha información no se almacena; Vídeos e imágenes de los clientes”, pero no incluye los números de teléfono, que aparecen en los ficheros “***FICHERO.1” y “***FICHERO.2”. - La EIPD menciona el tratamiento de “Nombre y apellidos; Email, número de teléfono y sitio web; Algunos datos en relación al servicio”; Datos económicos, para los usuarios que realicen un pago. Únicamente se recaban los datos necesarios y de forma segura”. - En el documento (Registro de actividades de tratamiento, “Tratamiento: Alumnos”) se mencionan “Los necesarios para el mantenimiento de la relación comercial. Facturar, enviar publicidad postal o por correo electrónico, servicio postventa y fidelización; De identificación: nombre y apellidos, NIF, Dirección postal, teléfonos, e-mail; Datos bancarios: para la domiciliación de pagos”. Se encuentran diferencias en la duración indicada de los tratamientos: - En el AR se establece como duración del tratamiento el calificativo de “Instantáneo”. - La EIPD considera otras duraciones de almacenamiento de los datos, mencionando los servidores de Highlevel Inc, y Google Cloud (recomendando la consulta de las políticas de privacidad y demás aspectos legales de dichas compañías en su web) e indica que se realizan copias de seguridad propias, sin indicar los plazos de conservación. Se encuentran diferencias con el contrato de encargo de tratamiento: - En el Anexo 3 del contrato aportado por EMPRENDEDORES, se incluye un modelo que no coincide con el empleado en el contrato presentado por ***EMPRESA.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/25 Se encuentran diferencias en la información básica de derechos para proporcionar a los titulares de los datos personales con la definida en su página web: - En ese mismo Anexo 3 se define una información, en capas, para proporcionar a los titulares, que no coincide con lo encontrado en la página web de EMPRENDEDORES: https://emprendedores.com/data-protection-addendum/; https://emprendedores.com/data-protection/; https://emprendedores.com/privacypolicy/; https://emprendedores.com/aviso-legal/. La matriz de evaluación de riesgos que aparece en la EIPD no está dirigida al impacto sobre los titulares de los datos personales sino al impacto sobre la organización. QUINTO: Con fecha 25 de febrero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.

1. f)del RGPD y del Artículo 6.1 del RGPD, tipificadas en el Artículo 83.5 del RGPD. El acuerdo de inicio fue debidamente notificado a EMPRENDEDORES, constando en el expediente el correspondiente acuse de recibo. SEXTO: Con fecha de 11 de marzo de 2025 se recibió un escrito de E.E.E., (…) “como así consta debidamente acreditado en el expediente de referencia”. En el mencionado escrito afirma lo siguiente: “Que habiendo recibido notificación el pasado 25 de febrero de 2024 por la que se nos concede 10 días hábiles en aras de presentar alegaciones o manifestar conformidad con la propuesta de sanción, venimos a mostrar conformidad con la sanción propuesta solicitando se proceda a ambas reducciones. A la vista de la referida conformidad, venimos a renunciar de cualquier acción y/o recurso contra la sanción, solicitando por tanto se proceda a dictar resolución por la que nos acogemos a ambas reducciones.” En relación con este escrito debe significarse lo siguiente: - El referido abogado no acredita la representación de EMPRENDEDORES, ni en este ni en ningún documento que conste en el expediente. - En relación con la “conformidad” con las reducciones de la cuantía de la sanción, no acredita haber procedido al pago de la misma SÉPTIMO: Con fecha de 21 de julio de 2025, se dirigió un nuevo escrito a EMPRENDEDORES al objeto de aclarar las circunstancias antes mencionadas. No se ha recibido respuesta a dicho escrito ni recibido el pago voluntario de la sanción señalada en el acuerdo de inicio del presente procedimiento sancionador. Dicho escrito fue notificado al domicilio social de EMPRENDEDORES, sin que conste la recepción del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/25 OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), constando el correspondiente acuse de recibo de fecha 21/03/2025, y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
2. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, NOVENO: No se dispone de información económica de EMPRENDEDORES ONLINE, LLC A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Los diferentes reclamantes contrataron el curso “***CURSO.1”, sobre estrategia de venta por Internet, a impartir por EMPRENDEDORES en diciembre de 2022. SEGUNDO: En los meses de febrero y marzo de 2023, EMPRENDEDORES, a través de (…) A.A.A. subió el archivo “***FICHERO.1”, con datos personales de alumnos del curso “***CURSO.1” al directorio de Google Drive al que podían acceder todos los alumnos del curso. TERCERO: Los datos personales de los más de 1100 alumnos que aparecen en el fichero “***FICHERO.1” son de los siguientes tipos: - Nombre y apellidos (en algunos registros se nombra a más de una persona). Correo electrónico. Número de teléfono. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/25 - Observaciones (sólo en algunos casos; información principalmente sobre circunstancias personales y quejas de alumnos descontentos). CUARTO: En el grupo de la plataforma Discord utilizado para los cursos, EMPRENDEDORES puso a disposición de todos los asistentes al curso señalado el documento “***FICHERO.2” QUINTO: Los datos personales de los colaboradores asociados a cada alumno (filas blancas o sin relleno, en total 743 personas) son de los tipos: - Nombre, o nombre y apellidos. Relación con el alumno (parentesco, amistad o pertenencia a grupo). Número de teléfono (la columna indica “Wassap”). Método de pago. Observaciones (detalles sobre pagos, medios de pago, o país de residencia). SEXTO: En relación con el hecho de que las sesiones formativas del curso “***CURSO.1”, realizadas a través de la aplicación ZOOM, fueran grabadas y puestas a disposición de los participantes a través de la plataforma WISTIA, la investigación ha permitido confirmar que la grabación de la sesión de vídeo en que uno de los reclamantes manifiesta aparecer junto a su esposa y cuyo enlace proporciona (***URL.1) permanece accesible en internet a día de redacción del informe de actuaciones previas de investigación. SÉPTIMO: La Sección 3, “Mantendré el contenido confidencial”, de los contratos [R1.6], [R2.5] y [R5.6] entre particulares (alumnos) y EMPRENDEDORES para el curso “***CURSO.1” indica: “1. Entiende que, al participar en nuestro Programa, estará expuesto a Nuestro contenido, currículum, proceso de capacitación, áreas de membresía privada y eventos en vivo, todo lo cual es nuestro contenido exclusivo y propiedad intelectual protegida. Usted comprende que todas y cada una de las ideas, el contenido y los procesos en este Programa son propiedad intelectual privada y protegida del Proveedor […] 2. […] podemos utilizar sus historias o presentaciones con fines promocionales, a nuestra discreción, en todo o en parte, en cualquier medio del mundo, sin notificación, revisión, aprobación o compensación para usted. Esta autorización incluye el derecho del Proveedor a utilizar su nombre, voz, imagen, película, video, grabaciones, declaraciones, o cualquier trabajo derivado, en todos los medios. Esta autorización de uso de imagen, caso de éxito, testimonio o experiencias será gratuita […] 3. Comprende que cualquier comunicación con el Proveedor puede ser monitoreada o registrada para su desarrollo personal y nuestra revisión interna de calidad y desarrollo de los empleados.” FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/25 I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. En consecuencia, la imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez EMPRENDEDORES realiza, entre otros tratamientos, la recogida y conservación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/25 datos personales de los alumnos que participan en su plataforma de formación: nombre y apellido, correo electrónico, imágenes o datos bancarios, entre otros. EMPRENDEDORES realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” III Obligación incumplida. Integridad y confidencialidad La letra
4. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En relación con este principio, el Considerando 39 del referido RGPD señala que: “[…]Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. En este sentido, los responsables han de garantizar la integridad y confidencialidad de los datos personales objeto de tratamiento a través de medidas técnicas y organizativas de todo tipo. El cumplimiento de dicho precepto se constataría, por lo tanto, mediante
6. i)la adopción y cumplimiento de medidas técnicas y organizativas de todo tipo cuyo objetivo sea garantizar la confidencialidad y la integridad de los datos personales objeto de tratamiento
7. ii)la ausencia de situaciones de pérdida de confidencialidad o integridad de los datos personales tratados. Su incumplimiento, por el contrario, devendría de la ausencia de medidas o incumplimiento de las adoptadas y de una pérdida de confidencialidad de los datos objeto de tratamiento. En el presente caso, consta una brecha de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse publicado los datos personales de los reclamantes alumnos del curso “***CURSO.1”, así como de otros alumnos, sin su consentimiento, en Google Drive, Discord y Wistia. Esta información estaría a disposición de todos los alumnos del curso indicado que, por lo tanto, tuvieron acceso a dicha información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/25 En este sentido, la parte reclamante aporta el fichero “***FICHERO.1”, propiedad de EMPRENDEDORES, que contine datos personales (nombre y apellidos, correo electrónico, número de teléfono, comentarios) de más de 1100 alumnos, entre los que aparecen cuatro de los reclamantes, y que, según informan, resultó publicado en el grupo de Google Drive del curso “***CURSO.1”. Así, A.A.A. habría subido el archivo “***FICHERO.1”, con datos personales de alumnos del curso “***CURSO.1” impartido por EMPRENDEDORES, al directorio de Google Drive al que podían acceder todos los alumnos del curso Del mismo modo, consta en el expediente el fichero “***FICHERO.2”, con los nombres de 157 alumnos y 743 familiares y amistades de los alumnos, (nombre; correo electrónico; teléfono móvil; identificadores de medios de pago, en algunos casos números de cuenta bancaria), elaborado por EMPRENDEDORES y que resultó puesto a disposición de los participantes en el grupo de Discord del curso “***CURSO.1”, según manifestaciones de los reclamantes. Por ello, en el presente caso, consta una brecha de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad, al haberse publicado los datos personales de la parte reclamante en diversas plataformas de internet, exponiéndose sus datos a un tercero, sin consentimiento. Por todo ello, los hechos conocidos son ser constitutivos de una infracción, imputable a EMPRENDEDORES, por vulneración del artículo 5.1.
8. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
9. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
11. b)los derechos de los interesados a tenor de los artículos 12 a 22;
12. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
13. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
14. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/25 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
15. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." V Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
16. a)a
17. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
18. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
19. b)la intencionalidad o negligencia en la infracción;
20. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
21. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
22. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
23. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
24. g)las categorías de los datos de carácter personal afectados por la infracción;
25. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
26. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/25
27. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
28. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
29. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
30. a)El carácter continuado de la infracción.
31. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
32. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
33. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
34. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
35. f)La afectación a los derechos de los menores.
36. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
37. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas.. A efectos de decidir sobre la imposición de una multa administrativa y su cuantíase considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes:  Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/25 Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD. EMPRENDEDORES, en ejercicio de su actividad, se dedica a ofrecer formación sobre distintas líneas de negocio con el fin de alcanzar el éxito profesional. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad y de la concreta actividad de tratamiento por la que se le imputa infracción de la normativa de protección de datos, implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. Se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
38. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 5.000,00 euros. VI Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
39. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
40. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
41. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
42. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
43. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
44. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
45. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " Asimismo, se debe tener en cuenta el considerando