← España

PS-00540-2022

1/13  Expediente N.º: EXP202105613 (PS/00540/2022) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A., B.B.B., C.C.C., D.D.D., E.E.E. y F.F.F. (en adelante, los reclamantes) con fecha 3 de noviembre de 2021 interpusieron denuncia ante la Dirección de Supervisión y Control de Protección de Datos del Consejo General del Poder Judicial por la supuesta violación de la legislación de protección de datos. Al no estar relacionado el tratamiento en cuestión con un fin jurisdiccional (artículo 236.bis de la Ley Orgánica del Poder Judicial), la Dirección de Supervisión y Control de Protección de Datos del Consejo General del Poder Judicial, por resolución de 23 de noviembre de 2021, se da traslado de la citada cuestión a esta Agencia, teniendo entrada el 25 de noviembre de 2021 como una reclamación contra ASOCIACIÓN CONTRA LA CORRUPCION Y EN DEFENSA DE LA ACCIÓN PÚBLICA con NIF G88251046 (en adelante, ACODAP). Los motivos en que basa la reclamación son los siguientes: En el sitio web de ACODAP se ha expuesto copia de un auto del Juzgado Central de Instrucción núm. 4, en el que, sin anonimización de ningún tipo, se indica la identificación de los reclamantes y supuestos delitos objeto de denuncia entre otros asuntos. De esta forma, ACODAP ha realizado una difusión de datos personales de los reclamantes, a los que ha tenido acceso por razón de su intervención en un procedimiento judicial. Junto a la reclamación se aportan las imágenes de la “Nota de prensa” y de la copia del auto del Juzgado Central de Instrucción núm. 4, ambas publicadas en la página web de ACODAP el 29 de octubre de 2021, donde constan los datos de los reclamantes. SEGUNDO: Con fecha de 7 de diciembre de 2021 se constata que los datos de los reclamantes están publicados en las siguientes direcciones de internet: ***URL.1 ***URL.2 ***URL.3 TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha 29 de diciembre de 2021, se dio traslado de dicha C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/13 reclamación a ACODAP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable; reiterándose el traslado en fecha 28/01/2022 por correo postal certificado, fue nuevamente devuelto por “dirección incorrecta”. CUARTO: Con fecha 24 de febrero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 1 de abril de 2022 fue remitida medida cautelar de retirada urgente del contenido a la ASOCIACIÓN CONTRA LA CORRUPCION Y EN DEFENSA DE LA ACCIÓN PÚBLICA (en lo sucesivo, ACODAP) mediante notificación electrónica y postal, reiterándose el 10 de mayo de 2022, ninguna de estas notificaciones fue recogida. Con fecha 27 de mayo 2022 se dictó por esta Agencia Acuerdo de adopción de medida provisional, remitiéndose esta medida cautelar al registrador del dominio de internet de ACODAP, PRORED COMUNICACIONES, S.L., con fecha de 30 de mayo de 2022. Con fecha 30 de mayo de 2022 se recibe en esta Agencia, con número de registro REGAGE22e00021506799, escrito de contestación manifestando que se ha puesto en conocimiento de la entidad responsable del alojamiento del sitio web de ACODAP nuestro requerimiento, comprobando que, a fecha de presentación de este escrito, el contenido de las direcciones de internet indicadas no se encuentra accesible. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección .segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 25/03/2022 se incorporan a estas actuaciones la impresión del Aviso Legal, los estatutos de esta asociación, la Política de Privacidad y el registro de la asociación. Con fecha de 31 de mayo de 2022 se recibe en esta Agencia, con número de registro REGAGE22e00021662746 escrito remitido por el representante de ACODAP solicitando el expediente incoado a partir de la reclamación y que se le tuviera informado de las futuras actuaciones llevadas a cabo por esta Agencia. En este sentido, con fecha de 15 de junio de 2022 se remite escrito a ACODAP sin que la notificación fuera recogida. Remitiéndose este escrito de nuevo con fecha de 28 de junio de 2022 a la dirección electrónica informada por el representante de la asociación, resultó igualmente expirada por no haberse recogido. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 3/13 Con fecha de 1 de junio de 2022 esta inspección comprueba que el contenido reclamado ha sido eliminado. A fecha de la emisión de este informe, 28 de septiembre de 2022, se comprueba que el sitio web de ACODAP, https://www.acodap.com/, ya no está disponible. CONCLUSIÓN Se han constatado los hechos reclamados verificando la publicación sin consentimiento de los reclamantes de sus datos personales en el sitio web de ASOCIACIÓN CONTRA LA CORRUPCION Y EN DEFENSA DE LA ACCIÓN PÚBLICA, https://www.acodap.com/. A requerimiento de esta Agencia, los datos personales de los reclamantes en las direcciones de internet señaladas en la reclamación fueron eliminados. SÉPTIMO: Con fecha 17 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. OCTAVO: Notificado con fecha 20 de febrero de 2023 al representante de ACODAP el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones con el siguiente contenido: “Primera.- La denuncia presentada por los reclamantes y que ha dado origen a la incoación del presente procedimiento sancionador constituye una represalia prohibida por la DIRECTIVA (UE) 2019/1937 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de octubre de 2019 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, y por la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Ambos textos normativos recogen como novedad los buzones o canales de denuncia, como instrumento jurídico para hacer llegar a las autoridades encargadas de su tramitación denuncias o informaciones relativas a la lucha contra la corrupción. En este sentido, ACODAP es un canal externo de denuncias y titular del buzón de denuncias que se aloja en su página web. La ley española de transposición de la Directiva (que entrará en vigor el próximo 13 de marzo, y que se aplicará retroactivamente al 17 de diciembre de 2021) protege a los denunciantes o informantes de, entre otras: 2.1.

  1. b)Las acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/13 La denuncia de ACODAP y del juez G.G.G. a que se refiere el presente procedimiento sancionador se interpuso ante los juzgados de instrucción de Madrid, con el contenido que se acompaña como DOCUMENTO Nº 1, figurando como denunciados los ahora reclamantes. El auto cuya divulgación en la página web de ACODAP es objeto del presente procedimiento sancionador, fue la resolución que precisamente admitió a trámite nuestra denuncia inicial, lo que evidentemente constituía una noticia de interés general en la medida en que se acordaba el inicio de una investigación penal contra personajes de evidente proyección pública, ocupando todos ellos en la actualidad cargos de enorme relevancia jurídica y política. Además, los delitos que el juzgado de instrucción les imputaba a todos ellos podía poner en cuestión la honorabilidad que se predica precisamente del ejercicio de dichos cargos públicos. Por esa razón, como buzón de denuncias que es, ACODAP decidió publicar la noticia en su página web acompañando el auto del juzgado como documento de contraste. No tenía sentido ninguno anonimizar el auto, porque precisamente era el auto la noticia. Esta es además la práctica que sigue también el mismo CGPJ cuando su gabinete de prensa publica un auto o una sentencia que lo hace sin anonimizar, como puede comprobarse fácilmente. Todo esto se deja señalado para recalcar que la reclamación que ha dado origen al presente procedimiento sancionador es claramente una represalia, y debe de archivarse inmediatamente. Así lo dicen claramente los artículos 21.7 de la Directiva, y 38.5 de la Ley de transposición, a cuyo efecto: En los procesos judiciales, incluidos los relativos a difamación, violación de derechos de autor, vulneración de secreto, infracción de las normas de protección de datos, revelación de secretos empresariales, o a solicitudes de indemnización basadas en el derecho laboral o estatutario, las personas a que se refiere el artículo 3 de esta ley no incurrirán en responsabilidad de ningún tipo como consecuencia de comunicaciones o de revelaciones públicas protegidas por la misma. Dichas personas tendrán derecho a alegar en su descargo y en el marco de los referidos procesos judiciales, el haber comunicado o haber hecho una revelación pública, siempre que tuvieran motivos razonables para pensar que la comunicación o revelación pública era necesaria para poner de manifiesto una infracción en virtud de esta ley. SEGUNDA.- Todas las publicaciones que efectúa ACODAP lo hace al amparo de la licitud que confiere lo dispuesto en el art. 6.1
  2. e)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, tratamiento necesario para el cumplimiento de una misión C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/13 realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.” NOVENO: Con fecha 27 de septiembre de 2023, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a ACODAP, con NIF G88251046, por una infracción del artículo 5.1.
  3. b)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 10.000€ (diez mil euros). Esta propuesta de resolución, que se notificó a ACODAP conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 13 de octubre de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de ACODAP. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 28 de octubre de 2021, el Juzgado Central de Instrucción Nº 4 dictó auto en el que constan la identificación de los reclamantes y supuestos delitos objeto de denuncia, siendo D. G.G.G., actuando en su nombre y, al mismo tiempo, en nombre y representación de ACODAP, quien inició acciones judiciales contra los reclamantes frente a la Audiencia Nacional. SEGUNDO: Con fecha 29 de octubre de 2021, fue publicada en la web “www.acodap.com” una “nota de prensa” con el título “***NOTA.1”, y la copia del auto del Juzgado Central de Instrucción núm. 4, donde constan los nombres y apellidos de los reclamantes sin anonimizar, y los hechos objeto de denuncia. TERCERO: Con fecha de 7 de diciembre de 2021 se constata por esta Agencia que los datos de los reclamantes y el auto judicial a que se refiere el Hecho Probado Segundo, están publicados en las siguientes direcciones de internet: ***URL.1 ***URL.2 En el siguiente enlace se publicó los datos personales de los reclamantes: ***URL.3 C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/13 CUARTO: Según consta en la impresión obrante en el expediente, del “Aviso Legal” de la página de internet “www.acodap.com”, realizada con fecha 25 de marzo de 2022, el titular de esta página web y responsable de los tratamientos de datos personales que se realizan en la misma es: ASOCIACIÓN CONTRA LA CORRUPCIÓN Y EN DEFENSA DE LA ACCIÓN PÚBLICA (ACODAP). QUINTO: Con fecha de 1 de junio de 2022 esta Agencia comprueba que el objeto de la reclamación, la publicación en internet de unas notas de prensa y de un auto judicial con los datos personales de los reclamantes a través de las webs relacionadas en el Hecho Probado Tercero, ha sido eliminado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación a las alegaciones formuladas por ACODAP al acuerdo de inicio y a la propuesta de resolución A) En respuesta a las alegaciones al acuerdo de inicio presentadas por la entidad reclamada se debe señalar lo siguiente: PRIMERA. - “ACODAP es un canal externo de denuncias, siéndole de aplicación la DIRECTIVA (UE) 2019/1937 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de octubre de 2019”. Con el fin de dar cumplimiento a los objetivos perseguidos por la Unión Europea y ahondar en la protección del informante, mediante la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante, Ley 2/2023), se transpone al C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/13 ordenamiento jurídico español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo de 23 de octubre de 2019 (en adelante, Directiva 2019/1937). Según la Disposición final duodécima de la Ley 2/2023, su entrada en vigor se producirá a los veinte días de su publicación en el «Boletín Oficial del Estado» (en adelante, BOE). Habiendo sido publicada en el BOE de 21 de febrero de 2023, la entrada en vigor de la Ley 2/2023 se produjo el 13 de marzo de 2023, es decir, con posterioridad a los hechos que constituyen el objeto del presente procedimiento, teniendo en cuenta que el tratamiento ilegal de los datos de los reclamantes se efectuó el 29 de octubre de 2021, tal y como consta en el Hecho Probado Segundo. En consecuencia, en ningún caso la Ley 2/2023 estaba vigente al tiempo en el que se produjeron los hechos objeto del presente procedimiento. Tampoco se puede considerar aplicable la Directiva 2019/1937 en primer lugar, porque no se había aprobado la norma nacional para su transposición, y, en segundo lugar, porque a la fecha de los hechos (29 de octubre de 2021) el plazo de transposición no había finalizado, ya que en el artículo 26 de la Directiva 2019/1937 la fecha máxima para su transposición es el 17 de diciembre de 2022. Subsidiariamente, cabe señalar que la Ley 2/2023 recoge un canal externo de información en su título III, cuya llevanza corresponde a la Autoridad Independiente de Protección del Informante, A.A.I. prevista en el título VIII de la citada norma. Por otro lado, la Ley 2/2023 permite en su artículo 6 que un canal interno de información sea externalizado a un tercero externo. Pues bien, ni ACODAP ni D. G.G.G. pueden tener la consideración de canal externo de denuncias, como se dice en sus alegaciones, por no constituir el canal externo de información previsto en el título III de la Ley 2/2023, y tampoco le ha sido atribuida la gestión del sistema interno de información por el Consejo General del Poder Judicial. Concretamente, respecto a la publicación de la “noticia”, ACODAP alega que: “Además, los delitos que el juzgado de instrucción les imputaba a todos ellos podía poner en cuestión la honorabilidad que se predica precisamente del ejercicio de dichos cargos públicos. Por esa razón, como buzón de denuncias que es, ACODAP decidió publicar la noticia en su página web acompañando el auto del juzgado como documento de contraste.” Ante este razonamiento cabe señalar: 1.- El objetivo de la Ley 2/2023 no es perseguir cuestiones como la “honorabilidad que se predica precisamente del ejercicio de dichos cargos públicos” con la que ACODAP justifica sus acciones, sino proteger a las personas que en un contexto laboral o profesional detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la misma. Al contrario del argumento expresado por ACODAP, el artículo 9.2.
  4. h)de la Ley 2/2023 establece la “exigencia del respeto a la presunción de inocencia y al honor de las personas afectadas”. 2.- En la publicación del auto judicial por ACODAP no concurren las circunstancias previstas en el artículo 28 de la Ley 2/2023 en cuanto a las “condiciones de protección” a las personas que hagan una revelación pública, al no haberse producido la comunicación en los términos que exige su letra a), comunicación por canales internos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 8/13 o externos sin que se hayan adoptado medidas apropiadas en plazo, ni se dan las circunstancias de la letra
  5. b)del citado artículo, por lo que la publicación del auto judicial no está amparada en esta figura creada por la Ley 2/2023. En consecuencia, no se dan los requisitos del artículo 28 de la Ley 2/2023 para considerar que el tratamiento es lícito según el supuesto del artículo 30 de la citada norma. 3.- Por último, los delitos o infracciones de naturaleza sexual que ACODAP pretende denunciar no se encuentran incluidos en el ámbito material de aplicación de la Ley 2/2023, según su artículo 2, ni del ámbito de aplicación material establecido en el artículo 2 de la Directiva (UE) 2019/1937. ACODAP argumenta respecto a la no anonimización del auto que “Esta es además la práctica que sigue también el mismo CGPJ cuando su gabinete de prensa publica un auto o una sentencia que lo hace sin anonimizar, como puede comprobarse fácilmente”. En primer lugar, cabe señalar que el Consejo General del Poder Judicial también está sujeto al cumplimiento de la normativa aplicable en materia de protección de datos, por lo que las publicaciones que realice en el ámbito de sus competencias deben respetar el derecho fundamental a la protección de datos personales (artículo 18.4 de la Constitución Española) En segundo lugar, el tratamiento de datos personales realizado por ACODAP, está sujeto a la normativa que le es de aplicación como parte en un proceso judicial. El artículo, 236 quinquies de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial dispone: “Los datos personales que las partes conocen a través del proceso deberán ser tratados por éstas de conformidad con la normativa general de protección de datos”. Pues bien, los datos personales obrantes en los documentos judiciales son cedidos para el ejercicio legítimo de la defensa, no para que sea objeto de publicación, lo que supone una vulneración de los fines para los cuales dichos datos personales han sido tratados. Por todo lo expuesto, se desestima la presente alegación. SEGUNDA. - “Las publicaciones que efectúa ACODAP lo hace al amparo de la licitud que confiere lo dispuesto en el art. 6.1
  6. e)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016.” En respuesta a este argumento, en primer término, cabe traer a colación lo señalado en la contestación a la alegación anterior, en cuanto que la Ley 2/2023 no estaba en vigor al tiempo de los hechos, y la Directiva (UE) 2019/1937 aún no había producido sus efectos vinculantes por la falta de transposición mediante una norma nacional, sin que hubiera transcurrido el plazo máximo para su transposición. Como consecuencia de lo señalado en la contestación a la alegación anterior, en ningún caso puede considerarse que la publicación de los datos personales de los reclamantes pueda estar amparada por el supuesto que establece el artículo 6.1.
  7. e)del RGPD. Aclara el artículo 8.2 de la LOPDGDD que el tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1.
  8. e)del RGPD cuando derive de una competencia atribuida por una norma con rango de ley. La competencia de gestión del canal externo del título III de la Ley 2/2023 corresponde a la Autoridad Independiente de Protección C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 9/13 del Informante, A.A.I, en ningún caso a una asociación como ACODAP, que, además, no forma parte de la Administración Pública. Por todo lo expuesto, se desestima la presente alegación. III Principio de limitación de la finalidad El artículo 5.1.b), “Principios relativos al tratamiento”, del RGPD establece: “1. Los datos personales serán:
  9. a)…
  10. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);” Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1 y 2, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; (…) Respecto a los principios regulados en el citado artículo 5 del RGPD, debe tenerse en en cuenta lo señalado en el Considerando 39 del RGPD: “39. Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 10/13 tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento” El artículo 89.3 de la LPACAP establece que: “En la propuesta de resolución se fijarán de forma motivada los hechos que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan…” Si bien en el acuerdo de inicio se consideró que los hechos objeto del presente procedimiento podrían suponer una vulneración del artículo 6.1 del RGPD, por la falta de concurrencia de alguna de las causas que legitima el tratamiento en cuestión, se estima oportuno modificar la tipificación de la conducta infractora, imputando a ACODAP una infracción del artículo 5.1.
  11. b)del RGPD, el cual dispone que los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines. Con relación con los hechos reclamados, se considera que existen evidencias de que el tratamiento de datos de ACODAP, al difundir datos personales de los reclamantes a través de la página web www.acodap.com, publicando una copia de un auto del Juzgado Central de Instrucción núm. 4 sin anonimización de ningún tipo, se ha efectuado de forma contraria a con fines determinados, explícitos y legítimos por los que el ordenamiento jurídico permite a las partes intervinientes en un proceso tener acceso a los datos personales obrantes en los documentos que el órgano judicial correspondiente dicte en el marco del proceso judicial. En el presente caso, tratándose de un proceso penal, el fin determinado, explícito y legítimo de acceso a los datos personales no puede ser otro que obtener la tutela judicial efectiva, tanto por la parte acusadora como por la parte acusada en dicho proceso. Por todo ello, los hechos objeto de la reclamación suponen la vulneración del artículo 5.1.
  12. b)del RGPD, ya que los datos personales son cedidos para el ejercicio legítimo de la defensa de las posiciones de las partes del proceso, no para que sea objeto de publicación ni en el momento en que se produjo ni en un momento posterior, lo que supone una vulneración de los fines para los cuales dichos datos personales han sido tratados. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 11/13 IV Tipificación y calificación de la infracción La citada infracción del artículo 5.1.
  13. b)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (...).” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V Sanción por la infracción del artículo 5.1.
  16. b)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD. Como circunstancias del artículo 83.2 del RGPD, entendida en este caso como agravante: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 12/13 perjuicios que hayan sufrido (apartado a): Por la difusión no autorizada de datos personales de 6 afectados al menos desde el 29 de octubre de 2021 a diciembre de 2021. - La intencionalidad o negligencia en la infracción (apartado b): Los datos personales de los reclamantes obrantes en el auto judicial, al que D. G.G.G., representante legal de ACODAP, ha tenido acceso en su condición de denunciante, son publicados por ACODAP en su web con intencionalidad para ilustrar la noticia a la que acompaña. La publicación de los datos personales sin anonimizar no se debió a ningún tipo de negligencia, sino que se hizo de forma intencionada, tal y como refiere ACODAP en sus alegaciones al acuerdo de inicio del presente procedimiento: “ACODAP decidió publicar la noticia en su página web acompañando el auto del juzgado como documento de contraste… No tenía sentido ninguno anonimizar el auto, porque precisamente era el auto la noticia”. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  17. b)del RGPD, permite imponer una sanción de 10.000 € (diez mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ASOCIACIÓN CONTRA LA CORRUPCION Y EN DEFENSA DE LA ACCIÓN PÚBLICA, con NIF G88251046, por una infracción del artículo 5.1.
  18. b)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de diez mil euros (10.000 €). SEGUNDO: NOTIFICAR la presente resolución a ASOCIACIÓN CONTRA LA CORRUPCION Y EN DEFENSA DE LA ACCIÓN PÚBLICA. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  19. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 13/13 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  20. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.