1/16 Expediente N.º: EXP202213150 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 29 de noviembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FORO ASTURIAS con NIF G74297664 (en adelante, la parte reclamada y anteriormente denominada FORO DE CIUDADANOS). Los motivos en que basa la reclamación son los siguientes: El 15/12/19 un medio de comunicación publicó una noticia en la que se visualizaba el número de cuenta corriente de la parte reclamante. En concreto, en la reclamación se afirma que aparecieron publicadas en la prensa unas fotografías que “inequívocamente forman parte de la documentación interna de FORO DE CIUDADANOS que se encuentra archivada en su sede de Oviedo y que fue facilitada, presumiblemente, al diario EL PAÍS por personas que formaban parte de la directiva del citado partido. En la reclamación se afirma que entre las imágenes gráficas mencionadas, aparece una fotografía de una nómina de A.A.A. en la que se puede comprobar con nitidez que revela todos los datos, incluido el número de su Cuenta Corriente particular en una entidad bancaria concreta. El 18/12/19 la parte reclamante formuló inicialmente una reclamación que fue valorada en las actuaciones E/01032/2020 y RR/00193/2020. En la tramitación de dichos expedientes, la reclamación fue inicialmente inadmitida a trámite (E/01032/2020), por falta de indicios probatorios suficientes de la comisión de una infracción. Dicho criterio fue confirmado en la resolución por esta Agencia del recurso de reposición referencia RR/00193/2020, de fecha 03/06/2020. Los hechos que motivaron la citada reclamación fueron planteados también ante los tribunales. El 18/10/22 la Sala de lo Civil de la Audiencia Provincial de Asturias dictó la sentencia 00373/2022, que ha devenido firme, en la que se concluye: <<...B.B.B. como ***PUESTO.1 y responsable de la protección de datos debe velar porque situaciones como la enjuiciada no acontezcan, es decir, con el hecho de que informaciones de alto contenido personal como era la relativa al número de cuenta bancaria de A.A.A. no salgan a la luz pública, y es evidente que tal circunstancia aconteció (...). La responsabilidad de B.B.B. de conformidad con lo previsto en los art. 5; 24 y sig del Reglamento 2016/679 le obliga a adoptar todas las medidas a su alcance para evitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 que información tan delicada como la analizada salga de la sede del Partido, quedando patente que tales medidas no fueron suficientes. Por tanto, se declara la vulneración del deber de custodia, protección, circulación y tratamiento de los datos personales de A.A.A. por parte del responsable del tratamiento de datos del partido "Foro de Ciudadanos", B.B.B. condenando a éste al pago de los daños y perjuicios generados al actor por tal acto, cuya indemnización se establecerá en un pleito posterior.>> Junto a la reclamación aporta el justificante de la reclamación inicial formulada el 18/12/19 y la mencionada sentencia dictada por la Audiencia Provincial de Asturias. SEGUNDO: Con fecha 12 de diciembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: Con fecha 13 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- f)del RGPD (artículo 83.5 RGPD) y Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, alega lo siguiente: - Posible prescripción de las infracciones imputadas - Si bien la Administración puede considerarse vinculada a los hechos probados declararos por los tribunales penales, en esta ocasión, la jurisdicción que se ha pronunciado ha sido la Civil - Posible vulneración del principio de non bis in idem, en tanto se estarían siguiendo dos procedimientos distintos (judicial y administrativo) por los mismos hechos - La sentencia del orden civil aportada al procedimiento no habría declarado como probado que habría sido B.B.B. quien hubiera divulgado o entregado ilegítimamente al diario EL PAÍS la nómina en que se visualizaba el número de cuenta corriente. QUINTO. Con fecha de 16/05/2023 el instructor del procedimiento formuló la correspondiente propuesta de resolución, mediante la cual propone al órgano competente para resolver lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 PRIMERO. Que por la Directora de la Agencia Española de Protección de Datos se sancione a FORO ASTURIAS, con NIF G74297664, por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 15.000 € SEGUNDO. Que por la Directora de la Agencia Española de Protección de Datos se sancione a FORO ASTURIAS, con NIF G74297664, por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, con una multa de 5.000 € TERCERO Que por la Directora de la Agencia Española de Protección de Datos se ordene a FORO ASTURIAS, con NIF G74297664, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de DOS MESES, acredite haber procedido al cumplimiento de las medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto SEXTO. La mencionada propuesta de resolución fue notificada en la misma fecha de 16/05/2023, constando en el expediente el correspondiente acuse de recibo. No se han recibido alegaciones sobre la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: en la edición del diario EL PAÍS de 15/12/2019 aparece una fotografía de una nómina de la parte reclamante en la que se puede comprobar con nitidez que revela el número de su Cuenta Corriente particular en una entidad bancaria concreta. Adicionalmente. pueden observarse otros que le son atribuibles, como la fecha de antigüedad profesional y su categoría profesional. SEGUNDO: El 18/10/22 la Sala de lo Civil de la Audiencia Provincial de Asturias dictó la sentencia 00373/2022, que ha devenido firme, en la que se concluye: <<...B.B.B. como ***PUESTO.1 y responsable de la protección de datos debe velar porque situaciones como la enjuiciada no acontezcan, es decir, con el hecho de que informaciones de alto contenido personal como era la relativa al número de cuenta bancaria de A.A.A. no salgan a la luz pública, y es evidente que tal circunstancia aconteció (...) La responsabilidad de B.B.B. de conformidad con lo previsto en los art. 5; 24 y sig del Reglamento 2016/679 le obliga a adoptar todas las medidas a su alcance para evitar que información tan delicada como la analizada salga de la sede del Partido, quedando patente que tales medidas no fueron suficientes. Por tanto, se declara la vulneración del deber de custodia, protección, circulación y tratamiento de los datos personales de A.A.A. por parte del responsable del tratamiento de datos del partido "Foro de Ciudadanos", B.B.B. condenando a éste al pago de los daños y perjuicios generados al actor por tal acto, cuya indemnización se establecerá en un pleito posterior.>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FORO ASTURIAS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «Responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Esta-dos miembros. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como una brecha de confidencialidad. Diversos datos personales de la parte reclamante fueron accedidos por terceros sin consentimiento por su parte. Los datos comprometidos fueron los que figuran en la nómina, principalmente el número de cuenta corriente del reclamante. Adicionalmente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 pueden observarse otros que le son atribuibles, como la fecha de antigüedad profesional y su categoría profesional. Según el GT29 se produce una “Violación de la confidencialidad” cuando se produce una revelación no autorizada o accidental de los datos personales, o el acceso a los mismos. III Alegaciones aducidas En respuesta a las alegaciones presentadas por la entidad reclamada al acuerdo de inicio de expediente se debe señalar lo siguiente:
- a)Posible prescripción de las infracciones imputadas Alega la parte reclamada que ambas sanciones imputadas (artículos 5.1.
- f)y 32 del RGPD) tendrían la consideración de graves, y con ello prescribirían a los dos años de acuerdo con el artículo 73 LOPDGDD. Toda vez que se considera que la infracción se cometió (o se constató) en el momento de la publicación en prensa del dato personal, (15/12/2019), las infracciones habrían prescrito el 15/12/2021. A estos efectos, debe señalarse que el acuerdo de inicio de este procedimiento fue notificado el 14/12/2022 En relación con esta alegación debe distinguirse entre la infracción del artículo 5.1.
- f)y del artículo 32. En cuanto a la infracción del artículo 5.1.f), el acuerdo de inicio de procedimiento sancionador indica literalmente lo siguiente: De confirmarse, la citada infracción del artículo 5.1.
- f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” Por lo tanto, la LOPDGDD califica, a los efectos de la prescripción, la infracción del artículo 5.1.
- f)como muy grave y prescribe a los tres años. Toda vez que la infracción se habría cometido el 15/12/2019, y la notificación del acuerdo de inicio se produjo el 14/12/2022, no se habría producido la prescripción de la infracción. En relación con la infracción del artículo 32, debe precisarse el distinto contenido de la anterior. En efecto, mientras la infracción del artículo 5.1.
- f)se caracteriza como infracción de resultado, su comisión se produce en el momento en que se constata la pérdida de confidencialidad de los datos (en este supuesto, la publicación en el periódico). Sin embargo, el artículo 32 sanciona la falta de medidas de seguridad en relación con los datos personales de los que se es responsable. Y está comprobado que en el momento de publicarse la noticia, no había medidas de seguridad que hubieran impedido que el dato llegara a la prensa. Dicho esto, nada consta en el expediente, ni en las alegaciones del interesado, que acrediten que este ha dispuesto las medidas necesarias para evitar que incidentes como este vuelvan a producirse. Y con ello, no puede aplicarse la prescripción, ya que esta comenzaría a contar en el momento en que las medidas habrían sido establecidas.
- b)Jurisdicción que constata los hechos Alega la parte reclamada que en este caso no resulta de aplicación el artículo 77.4 Ley 39/2015, de 1 de octubre, del Procedimiento administrativo común de las Administraciones Públicas (“En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”). En relación con esta alegación, baste con señalar que este precepto establece una vinculación a la Administración cuando los hechos sean declarados probados por una resolución del orden penal. Esto implica que para esas resoluciones y esos hechos, la Administración no puede adoptar un criterio fáctico diferente al señalado por la sentencia penal. Ahora bien, nada impide que la Administración se base en hechos probados declarados en sentencias de otros órdenes. La única peculiaridad será que en ese caso, no estará vinculada por los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Pues bien, cabe en este momento repetir el pronunciamiento de la ya citada Sentencia de la Sala de lo Civil de la Audiencia Provincial de Asturias dictó la sentencia 00373/2022 de El 18/10/22, que ha devenido firme, y en la que se concluye: <<...B.B.B. como ***PUESTO.1 y responsable de la protección de datos debe velar porque situaciones como la enjuiciada no acontezcan, es decir, con el hecho de que informaciones de alto contenido personal como era la relativa al número de cuenta bancaria de A.A.A. no salgan a la luz pública, y es evidente que tal circunstancia aconteció (...) La responsabilidad de B.B.B. de conformidad con lo previsto en los art. 5; 24 y sig del Reglamento 2016/679 le obliga a adoptar todas las medidas a su alcance para evitar que información tan delicada como la analizada salga de la sede del Partido, quedando patente que tales medidas no fueron suficientes. Por tanto, se declara la vulneración del deber de custodia, protección, circulación y tratamiento de los datos personales de A.A.A. por parte del responsable del tratamiento de datos del partido "Foro de Ciudadanos", B.B.B. condenando a éste al pago de los daños y perjuicios generados al actor por tal acto, cuya indemnización se establecerá en un pleito posterior.>> La Audiencia provincial ha declarado la ausencia de medidas de seguridad en la custodia de los datos personales, lo que esta Agencia considera más que suficiente para determinar los hechos probados.
- c)Principio de non bis in idem Considera la parte reclamada que se habría vulnerado este principio, al haber sido ya objeto la filtración de los datos personales de un procedimiento judicial. En relación con esta alegación, es importante señalar que la sentencia recayó en un procedimiento jurisdiccional de protección civil del derecho al honor. Y el pronunciamiento de la sentencia de apelación es el siguiente: “se declara la vulneración del deber de custodia, protección, circulación y tratamiento de los datos personales de A.A.A. por parte del responsable del tratamiento de datos del partido “Foro de Ciudadanos”, B.B.B., condenando a éste al pago de los daños y perjuicios generados al actor por tal ato, cuya indemnización se establecerá en un pleito posterior” Es decir, se trata de un proceso civil que tiene como fin el restablecimiento del derecho del demandante. Por ello en la sentencia se establece la obligación de pago de una indemnización. Sin embargo, en el procedimiento presente nos encontramos en el ámbito de la potestad de actuación de la Agencia Española de Protección de Datos en su ámbito competencial, cual es la protección del derecho fundamental a la protección de datos del artículo 18.4 de la Constitución. Y a esos efectos, el artículo 58.2 del RGPD establece como posibles medidas a adoptar ante la vulneración de ese derecho fundamental: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular” “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado” Esta es la finalidad del presente expediente sancionador. En el mismo sentido se dirige la regulación de los artículos 64 y siguientes de la LOPDGDD, que establecen que los incumplimientos de lo dispuesto en el RGPD y en la propia LOPDGDD se dilucidarán a través del procedimiento sancionador. Por el contrario, el procedimiento judicial seguido en la sentencia utilizada en este procedimiento tenía por objeto la reparación del derecho del demandante, tras lo cual el Tribunal ha ordenado que se produzca una indemnización. Ambos procedimientos (judicial y administrativo) tienen objetos totalmente diferentes.
- d)La sentencia del orden civil aportada al procedimiento no habría declarado como probado que habría sido B.B.B. quien hubiera divulgado o entregado ilegítimamente al diario EL PAÍS la nómina en que se visualizaba el número de cuenta corriente. En relación con este argumento, baste con decir que no es el objeto de este procedimiento sancionador determinar si B.B.B. divulgó o entregó los datos. Por el contrario, en el FD anterior ya ha quedado establecido que la parte reclamada es la responsable en el tratamiento de los datos personales objeto de este expediente. Y la sentencia de la Audiencia Provincial de Asturias de 18/10/22 declara probado que las medidas de seguridad no eran suficientes. Se constata, por lo tanto, la publicación en prensa del dato personal, por una parte, y la falta de diligencia en la custodia del mismo, sin el establecimiento de las pertinentes medidas de seguridad que lo hubieran evitado. Ello determina la apertura de este procedimiento sancionador. IV Obligaciones incumplidas El artículo 5 del RGPD establece los principios relativos al tratamiento de los datos personales. En concreto, su apartado 1.
- f)establece lo siguiente: “Principios relativos al tratamiento”: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” Por su parte, el artículo 32 del RGPD establece las obligaciones relacionadas con la seguridad del tratamiento, estableciendo lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo” V Vulneración del artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso se ha vulnerado el principio de confidencialidad en el tratamiento de los datos personales. Los datos que estaban bajo la responsabilidad del reclamado fueron publicados en prensa y con ello fueron de difundidos al público. Concurren en este supuesto los dos requisitos para que se produzca la vulneración del artículo 5.1.
- f)del RGPD. Por una parte, el resultado de pérdida de confidencialidad de los datos personales, ya que estos salieron a la luz pública mediante su publicación en prensa. Por otro, la negligencia en el cumplimiento de la obligación de garantizar la confidencialidad por parte del interesado, ya que, en términos de la sentencia citada, “La responsabilidad de B.B.B. de conformidad con lo previsto en los art. 5; 24 y sig del Reglamento 2016/679 le obliga a adoptar todas las medidas a su alcance para evitar que información tan delicada como la analizada salga de la sede del Partido, quedando patente que tales medidas no fueron suficientes”. VI Tipificación y calificación de la infracción del artículo 5.1.
- f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
- f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VII Sanción por la infracción del artículo 5.1.
- f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes:
- b)la intencionalidad o negligencia en la infracción; La aparición en prensa de los datos personales del reclamado viene precedida, conforme se afirma en la mencionada Sentencia de la Audiencia Provincial de Asturias, de la ausencia de suficientes medidas de seguridad del reclamado. En este sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes:
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. FORO ASTURIAS es un partido político, en cuya actividad ordinaria se encuentra el tratamiento de datos personales de sus afiliados. Todo ello para la realización de comunicaciones a los mismos, cobro de cuotas, etc. En consecuencia y a efectos de comprobar el cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
- f)del RGPD, permite fijar una sanción de 15.000 € (QUINCE MIL EUROS). VIII Vulneración del artículo 32 del RGPD El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- a)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- a)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16
- b)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En relación con esta regulación, debe recordarse lo declarado como probado por la Sentencia 00373/2022, de 18/10/2022, de la Sala de lo Civil de la Audiencia provincial de Asturias: <<...B.B.B. como ***PUESTO.1 y responsable de la protección de datos debe velar porque situaciones como la enjuiciada no acontezcan, es decir, con el hecho de que informaciones de alto contenido personal como era la relativa al número de cuenta bancaria de A.A.A. no salgan a la luz pública, y es evidente que tal circunstancia aconteció no pudiendo compartirse sobre el particular las afirmaciones realizadas en la instancia acerca de que las nóminas se confeccionan por una empresa externa; que hubo una la auditoria por parte de la entidad “Céntimo Auditores”, a la que se le entregó la información contable, como así reconoció C.C.C. o que los documentos relativos a las nóminas se guardan en la planta baja de la sede con una llave que se entrega a quien desee consultar algún documento, dado que, repetimos, (...) La responsabilidad de B.B.B. de conformidad con lo previsto en los art. 5; 24 y sig del Reglamento 2016/679 le obliga a adoptar todas las medidas a su alcance para evitar que información tan delicada como la analizada salga de la sede del Partido, quedando patente que tales medidas no fueron suficientes. Por tanto, se declara la vulneración del deber de custodia, protección, circulación y tratamiento de los datos personales de A.A.A. por parte del responsable del tratamiento de datos del partido "Foro de Ciudadanos", B.B.B. condenando a éste al pago de los daños y perjuicios generados al actor por tal acto, cuya indemnización se establecerá en un pleito posterior.>> A este respecto cabe traer a colación el art. 77.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo común de las Administraciones Públicas: en los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Si bien en este caso la sentencia proviene de un órgano judicial de la jurisdicción civil, lo cierto es que declara probada la ausencia de las medidas de seguridad necesarias para la custodia de los datos personales. IX Tipificación y calificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. X Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 Como agravantes:
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. FORO ASTURIAS es un partido político, en cuya actividad ordinaria se encuentra el tratamiento de datos personales de sus afiliados. Todo ello para la realización de comunicaciones a los mismos, cobro de cuotas, etc. En consecuencia y a efectos de comprobar el cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar una sanción de 5.000 € (CINCO MIL EUROS). . XI Adopción de medidas Constatada la infracción en esta resolución se impone al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO. IMPONER a FORO ASTURIAS, con NIF G74297664: - por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de QUINCE MIL EUROS (15.000 €) - por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa de CINCO MIL EUROS (5.000) € SEGUNDO: ORDENAR a FORO ASTURIAS, con NIF G74297664, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de DOS MESES, acredite haber procedido al cumplimiento de las medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto TERCERO: NOTIFICAR la presente resolución a FORO ASTURIAS. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es