1/7 Expediente Nº: PS/00624/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 30 de noviembre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra NESTARES, ENTIDAD LOCAL MENOR con NIF P3900262A (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes. El reclamante manifiesta que ejercitó el derecho de limitación de tratamiento de sus datos personales al haber sido enviada una carta con sus datos personales a otra persona, sin que haya recibido la respuesta legalmente establecida. Asimismo, manifiesta que la entidad reclamada no ha designado Delegado de Protección de Datos. Documentación relevante aportada por la parte reclamante: Correo electrónico ejerciendo el derecho de limitación de sus datos personales con fecha de 6 de marzo de 2019 dirigida a la Junta Vecinal de Nestares. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 29 de enero de 2021, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito. TERCERO: Con fecha 11 de marzo de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Solicitado al reclamante que presentase en esta Agencia el documento que manifiesta se ha entregado a un tercero y datos identificativos de la persona que recibió dicho documento, con fecha de 1 de septiembre de 2021 se recibe en esta Agencia, escrito remitido por el reclamante adjuntando una carta datada el 12 de junio de 2018 en la que se aprecia desencuentro entre el reclamante y la reclamada por un asunto local y en la que efectivamente aparecen sus datos personales. Solicitada información a la reclamada sobre las causas que motivaron la entrega de la referida comunicación a una tercera persona, con fecha de 21 de diciembre de 2021 se recibe en esta Agencia, escrito de alegaciones remitido por el Delegado de Protección de Datos (en adelante, DPD) manifestando el hecho de remitirse la carta mencionada en la reclamación a un tercero, debido a un error puntual de la persona que estaba ensobrando las comunicaciones a los vecinos. Añaden que han tomado medidas para evitar que hechos como el reclamado se puedan volver producir dando instrucciones para que las comunicaciones no se doblen y se introduzcan en el sobre hasta comprobar que la comunicación y el sobre se refieren a la misma persona. En relación a la solicitud de limitación del tratamiento, este DPD informa de que no puede asegurar el motivo por el cual no se atendió el derecho de limitación ya que los hechos son anteriores a la elección de la actual Presidenta de la Junta Vecinal y también al nombramiento de CONSULTANCY X3 S.L. como Delegado de Protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 de Datos del Ayuntamiento de ***AYUNTAMIENTO.1y, hasta que no se ha recibido esta comunicación, no tenían ningún conocimiento de lo sucedido. Se ha confirmado que el Ayuntamiento de ***AYUNTAMIENTO.1 tampoco tenía conocimiento alguno de los hechos. Por otra parte, no se observa que se cumpla ningunos de los requisitos establecidos en el artículo 18.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, sobre las condiciones para obtener del responsable del tratamiento la limitación del tratamiento de los datos. QUINTO: Con fecha 1 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Con fecha 31 de marzo de 2022 se dirige propuesta de resolución a la Directora de la Agencia Española de Protección de Datos, para que se ordene el ARCHIVO del presente procedimiento sancionador a NESTARES, ENTIDAD LOCAL MENOR, con NIF P3900262A, por encontrarse los hechos objeto del presente procedimiento sancionador prescritos, de conformidad con la legislación vigente. HECHOS PROBADOS PRIMERO: La parte reclamada ha enviado el 13 de junio de 2018 una carta con los datos personales del reclamante a un tercero sin su consentimiento y sin causa legitimadora para dicha comunicación. SEGUNDO El 9 de febrero de 2022 se notifica el acuerdo de inicio del presente procedimiento sancionador, dándose a la parte reclamada un plazo de diez días para presentar alegaciones al mismo. TERCERO: La recepción de la carta objeto de este recurso es de fecha 13 de junio de 2018, y el acuerdo de inicio del presente procedimiento sancionador fue notificado el 9 de febrero de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Por lo tanto, han transcurrido más de tres años desde la recepción de la carta y la notificación del acuerdo de inicio de este procedimiento. FUNDAMENTOS DE DERECHO I De acuerdo con el artículo 5.1.
- f)del RGPD y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que “los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III En el presente caso, el reclamante manifiesta que ejercitó el derecho de limitación de tratamiento de sus datos personales al haber sido enviada una carta con sus datos personales a otra persona por parte de la entidad reclamada. El delegado de protección de datos de la entidad reclamada responde que los hechos denunciados deben haber sido consecuencia de un error puntual. Se indica además que se han tomado medidas para evitar que hechos como el reclamado no se puedan volver a producir dando instrucciones para que las comunicaciones no se doblen y se introduzcan en el sobre hasta comprobar que la comunicación y el sobre se refieren a la misma persona. En relación a la solicitud de limitación del tratamiento, el delegado de protección de datos de la entidad reclamada manifiesta que no puede asegurar el motivo por el cual no se atendió el derecho de limitación ya que los hechos son anteriores a la elección de la actual Presidenta de la Junta Vecinal y también al nombramiento de CONSULTANCY X3 S.L. como Delegado de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 IV El artículo 72.1
- a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. V Así las cosas, ha de tenerse en cuenta que, en este supuesto, el acuerdo de inicio data de 1 de febrero de 2022, siendo este notificado el 9 de febrero de 2022. Por ello, al ser el objeto de reclamación la recepción de una carta de fecha 13 de junio de 2018, tales hechos se encuentran prescritos según el artículo 72.1
- a)de la LOPDGDD, indicado en el fundamento de derecho IV. Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es