← España

PS-00575-2022

1/8  Expediente N.º: EXP202205795 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que el 14 de mayo de 2022 alguien anónimo utilizó sus datos personales, incluyendo su nombre, imagen y número de teléfono para anunciar un servicio de masajes de carácter sexual en la web milanuncios.com (Indica el n º de referencia del anuncio ***REFERENCIA.1). A raíz de ese tratamiento ilegítimo de sus datos, la reclamante manifiesta que ha recibido numerosas llamadas y mensajes de WhatsApp, preguntando por estos servicios. Manifiesta que, tras reclamar ante el responsable del mencionado sitio web, este retiró el anuncio. Sin embargo, una hora más tarde se volvió a publicar el mismo anuncio con otro número de referencia (***REFERENCIA.2). A raíz de este nuevo anuncio volvió a recibir numerosas llamadas y mensajes de WhatsApp, causándole un ataque de ansiedad. Aporta captura de pantalla de este, constando "***ANUNCIO.1", el nombre de XXXX y una imagen de una chica. Aporta también captura de pantalla de una conversación por WhatsApp en la que un tercero pregunta si hace todo tipo de masajes, respondiendo la reclamante que se trata de un anuncio falso, terminando la conversación con las disculpas del tercero. SEGUNDO: Con fecha 22 de junio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Fecha en la que tuvieron lugar los hechos reclamados: 14 y 15 de mayo de 2022 - Durante las presentes actuaciones se ha investigado a B.B.B. con NIF ***NIF.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 - Requerida información a la mercantil ADEVINTIA SPAIN, S.L.U., (en adelante ADEVINTA) propietaria del sitio web donde se publicó el anuncio, respecto de los datos identificativos del usuario que solicitó la publicación de los anuncios nº referencia ***REFERENCIA.1 y ***REFERENCIA.2 en el portal milanuncios.com, indica que fueron los siguientes: - Nombre: XXXX - Email: ***EMAIL.1 - Teléfono: ***TELÉFONO.1 Adevinta Spain procedió a recopilar toda la información posible en relación a los anuncios, incluso los que habían sido eliminados de la plataforma Milanuncios.com, en los cuales se había hecho constar los datos personales de la reclamante. Así, aporta impresión de pantalla de dicha información (Imagen núm.3), de la que se desprende: - Que fueron publicados 3 anuncios, dos de ellos el día 14/5/2022 y otro el 15/5/2022 desde la dirección IP ***IP.1, e incluyen nombre, dirección de correo electrónico y número de teléfono indicados en el párrafo anterior. ADEVINTA indica que el primer anuncio, publicado el 14/05/2022 fue retirado el mismo día por el mismo usuario que lo publicó y vuelta a publicar por el mismo usuario ese mismo día. Uno de los anuncios publicados el día 14/5/2022 fue retirado por ADEVINTA el día 15/5/2022 tras recibir un correo electrónico de la reclamante solicitando su cancelación. El anuncio publicado en fecha 15/5/2022, indica ADEVINTA que fue retirado el día 16/5/2022 tras recibir un nuevo correo electrónico de la reclamante solicitando su cancelación. ADEVINTA afirma que ha implantado medidas necesarias para que no se pueda volver a introducir el número de teléfono de la reclamante en los futuros anuncios publicados en el portal Milanuncios.com, a no ser que ella misma lo autorice En respuesta a la solicitud de información sobre la Dirección IP de conexión al servidor de milanuncios.com para la subida de los anuncios de dichas referencias, así como las fechas y horas de conexión, ADEVINTA indica, de conformidad con la evidencia aportada (Imagen núm.3) que es la dirección IP ***IP.1. En cuanto a las fechas y horas de conexión en las que se procedió a subir los anuncios señalados, indica las siguientes: - Anuncio con referencia ***REFERENCIA.1: 14/05/2022, a las 08:39:28h. - Anuncio con referencia ***REFERENCIA.2: 15/05/2022, a las 08:22:03h. - A requerimiento de la Subdirección de Inspección de Datos de esta Agencia al operador que tiene asignadas las direcciones IP desde las que fueron publicadas los anuncios (ORANGE) sobre los datos identificativos del usuario que tenía asignadas dichas direcciones IP en la misma fecha y hora en las que fueron subidas al portal milanuncios.com, el operador ha aportado la identificación de este usuario, tratándose de B.B.B., con N.I.F. nº ***NIF.1 y domicilio en Calle ***DIRECCIÓN.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 CUARTO: Con fecha 16 de junio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. El acuerdo de inicio fue notificado electrónicamente el 16/06/2022, según consta en certificado del servicio de Dirección Electrónica Habilitada Única (DEHÚ) QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.

  1. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  2. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Publicación de los siguientes datos de la reclamanteen la web milanuncios.com sin su consentimiento: imagen, nombre de pila y número de teléfono móvil. Estos datos fueron publicados en los siguientes anuncios, constando "***ANUNCIO.1”: - Anuncio con referencia ***REFERENCIA.1: 14/05/2022, a las 08:39:28h. - Anuncio con referencia ***REFERENCIA.2: 15/05/2022, a las 08:22:03h. SEGUNDO: La Dirección IP de conexión al servidor de milanuncios.com para la subida de estos anuncios es la dirección IP ***IP.1. que, en las fechas y horas de subida de los anuncios, corresponde al usuario B.B.B., con N.I.F. nº B.B.B.. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por lo expuesto, La imagen física de una persona, su nombre y su número de teléfono móvil, a tenor del artículo 4.1 del RGPD, son datos personales y su protección, por tanto, es objeto de dicho Reglamento. Asimismo, su utilización para suplantar una identidad (hacerse pasar por otra persona) y que los mismos sean publicados en internet suponen un tratamiento de datos personales de conformidad con el mencionado artículo 4.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 III Infracción del artículo 6.1 del RGPD El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: «1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Asimismo el Considerando 40 del mencionado RGPD, dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En el presente caso, se considera que existen evidencias de la ilicitud del tratamiento de datos realizado por la investigada, pues procedió a publicar dos anuncios en la web milanuncios.com haciéndose pasar por la reclamante, conteniendo datos personales de la misma (imagen, nombre y nº de su móvil), sin que conste acreditado ninguna de las bases de legitimación previstas en el precitado artículo, ya que no consta consentimiento de la reclamante ni la concurrencia de ninguna de las otras circunstancias que permiten el tratamiento de datos personales, lo que supone una vulneración del artículo 6.1 del RGPD. Por tanto, a tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la investigada por la vulneración del Artículo 6.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 IV Tipificación de la infracción del artículo 6.1 del RGPD La infracción del artículo 6.1 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. b)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. V Sanción por la infracción del artículo 6.1 del RGPD De conformidad con las evidencias de que se dispone procede graduar la sanción a imponer de acuerdo con los criterios que establecen el artículo 83.2 del RGPD y el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: -Artículo 83.2.
  12. a)RGPD. Naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el nivel de los daños y perjuicios que hayan sufrido. En el presente caso el tratamiento de datos se realizó con el propósito de producir un perjuicio a la reclamante, la cual tuvo que soportar el recibir mensajes y llamadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 solicitando un servicio que ella no había anunciado, produciéndole una situación indeseada e incómoda. Artículo 83.2.
  13. b)RGPD. Intencionalidad o negligencia en la infracción: se aprecia una clara intencionalidad en la publicación del anuncio en un portal en internet, suplantando la identidad de la reclamante, lo cual realizó en dos ocasiones, pues tras ser retirado el anuncio por la empresa titular del portal como consecuencia de la denuncia de la reclamante, la investigada volvió a publicar el mismo anuncio y con las mismas características. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1
  14. f)del RGPD, permite fijar una sanción de 10.000 € (diez mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 10.000 euros (DIEZ MIL euros). SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  15. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.