1/6 Expediente nº: EXP202207320 (RR/00097/2024) RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por WILLOUGHBY COLLEGE, S.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 24 de enero de 2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 24 de enero de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202207320, en virtud de la cual se imponía a WILLOUGHBY COLLEGE, S.A., por una infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 5.500 € (cinco mil quinientos euros), y por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una multa de 500 € (quinientos euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 2 de febrero de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00057/2023, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: Con fecha 6 de noviembre de 2020 desde la dirección de correo electrónico info@wic.edu.es, se envió un mensaje dirigido a 48 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, ***USUARIO.1@hotmail.com con el asunto “Visita granja escuela”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. Ese mismo día, en respuesta al correo a que se refiere el párrafo anterior, la parte reclamante, desde la dirección ***USUARIO.1@hotmail.com, envía un correo electrónico a info@wic.edu.es, con copia a ***USUARIO.2@wic.edu.es, con el siguiente mensaje: “Muy señores míos, Ruego me expliquen el porqué han hecho pública mi dirección de correo electrónico y se la han facilitado a un grupo de personas. Es un dato personal confidencial y ahora está en manos de otras personas que ya me han escrito. No solamente ustedes han tenido durante años a mi (…) con los apellidos invertidos sin comprobar lo que decía el Registro Civil, sino que ahora tenemos una nueva vulneración de la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Atentamente A.A.A.” SEGUNDO: Con fecha 22 de diciembre de 2021 es remitido desde la dirección ***USUARIO.3@wic.edu.es un correo electrónico dirigido a 31 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, con el asunto “¡Merry Christmas!”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. Con fecha 23 de diciembre de 2021, en respuesta al correo a que se refiere el párrafo anterior, la parte reclamante, desde la dirección ***USUARIO.1@hotmail.com, envía un correo electrónico a ***USUARIO.3@wic.edu.es, con copia a ***USUARIO.2@wic.edu.es, con el siguiente mensaje: “Estimada B.B.B., Le agradezco mucho su correo electrónico. No obstante, como ya indiqué al colegio en ocasiones anteriores, no pueden Vds. enviar correos electrónicos sin usar CCO, ya que están compartiendo una vez más las direcciones personales de los padres sin su consentimiento. Desde luego el mío no lo tienen. Espero que esta situación no se produzca más, aunque viendo la reiteración del comportamiento, me temo que seguiremos así indefinidamente. Un cordial saludo” TERCERO: Con fecha 17 de mayo de 2022 es remitido desde la dirección ***USUARIO.3@wic.edu.es un correo electrónico dirigido a más de 100 destinatarios, incluida la dirección de correo electrónico de la parte reclamante, ***USUARIO.1@hotmail.com, con el asunto “Summer Show”. Las direcciones de correo electrónico de los destinatarios aparecen visibles. TERCERO: La parte recurrente ha presentado en fecha 9 de febrero de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en que ya habían pagado una sanción de 900 €, la adopción de una serie de medidas y la parte reclamante solicita el archivo del procedimiento. FUNDAMENTOS DE DERECHO I Competencia Con carácter preliminar, debe señalarse que el nuevo escrito presentado por el recurrente no ha sido calificado como recurso de reposición. No obstante, el apartado 2 del artículo 115 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), establece que el error o la ausencia de la calificación del recurso por parte del recurrente no será obstáculo para su tramitación, siempre que se deduzca su verdadero carácter, por lo que el escrito presentado se tramitará como un recurso de reposición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho III y VII, de la Resolución recurrida, tal como se transcribe a continuación: 1.- Haber el realizado el pago de la sanción. Respecto a esta alegación cabe señalar que el pago realizado por WILLOUGHBY COLLEGE con fecha 24 de marzo de 2023 se corresponde con la sanción impuesta en el EXP202302302 (PS/00083/2023), con motivo de la comisión de la infracción prevista en el artículo 83.5.
- e)del RGPD, “el no facilitar acceso en incumplimiento del artículo 58, apartado 1”. El artículo 58.1 del RGPD atribuye a cada autoridad de control los siguientes poderes de investigación: “
- a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
- b)llevar a cabo investigaciones en forma de auditorías de protección de datos;
- c)llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
- d)notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento;
- e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
- f)obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros”. Según la resolución del PS/00083/2023, WILLOUGHBY COLLEGE no contestó a los dos requerimientos de información formulados por esta Agencia: “…En el marco de las actuaciones de investigación, se remitieron a la parte reclamada dos requerimientos de información, relativos a la reclamación reseñada en el apartado primero, para que, en el plazo de diez días hábiles y cinco días hábiles respectivamente, presentase ante esta Agencia la información y documentación que en ellos se señalaban. El primero de ellos fue registrado de salida en fecha 21 de septiembre de 2022 mientras que el segundo, se registró en fecha 9 de diciembre de 2022. TERCERO: Los requerimientos de información, que se notificaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron recogidos por la parte reclamada con fechas 30 de septiembre de 2022 y 9 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 diciembre de 2022, como consta en los certificados de Notific@ que obran en el expediente. CUARTO: Respecto a la información requerida, la parte reclamada no ha remitido respuesta alguna a esta Agencia Española de Protección de Datos.” En el PS/00083/2023 se fijó inicialmente una multa administrativa de 1.500 €, importe al que, aplicándole la reducción por el pago voluntario de la sanción, acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, quedaba en un importe de 900 €. Esta cantidad fue abonada por WILLOUGHBY COLLEGE, tal y como se justifica en sus alegaciones. Con independencia de la incoación del procedimiento PS/00083/2023, esta Agencia acordó procedente iniciar un procedimiento sancionador con motivo de los hechos recogidos en la reclamación formulada por la parte reclamante, en los que WILLOUGHBY COLLEGE es el presunto responsable de la comisión de dos infracciones, una del artículo 5.1.
- f)del RGPD, y otra del artículo 32 del RGPD, por lo que, con fecha 27 de junio de 2023 la Directora de esta Agencia dictó acuerdo de inicio de procedimiento sancionador, PS/00057/2023. En consecuencia, el pago de la sanción a que se refiere WILLOUGHBY COLLEGE en su alegación, como causa de terminación del procedimiento sancionador prevista en el artículo 85 de la LPACAP por el pago voluntario por el presunto responsable, es aplicable al PS/00083/2023, no al presente procedimiento sancionador (PS/00057/2023). Por todo lo expuesto, se desestima la presente alegación. 2- Medidas adoptadas tras recibir la reclamación y solicitud de información WILLOUGHBY COLLEGE alega que, desde el mes de junio de 2022, adoptó medidas para evitar filtraciones de datos personales como la ocurrida en el presente caso. Como respuesta a esta alegación, cabe señalar que tales medidas, reseñadas en el documento de fecha 18 de julio de 2022 adjunto a las alegaciones, no se llevaron a cabo hasta que esta Agencia dio traslado de la reclamación a WILLOUGHBY COLLEGE, por lo que no tienen carácter espontáneo, ni siquiera responden a la comunicación realizada por la parte reclamante con carácter previo a la interposición de la reclamación. 3.- La parte reclamante solicita el archivo de los expedientes incoados a WILLOUGHBY COLLEGE. La petición realizada por la parte reclamante no puede tomarse en consideración. Una vez tramitado el correspondiente procedimiento administrativo sancionador y habiéndose dictado resolución administrativa finalizadora del mismo, conforme a lo dispuesto en la LOPDGDD y demás normativa de aplicación, resolución administrativa mediante la cual la Directora de esta Agencia ha ejercido los poderes que le atribuye el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 artículo 58.2 del RGPD, no ha lugar a la revocación de dicha resolución por voluntad de quien interpuso la reclamación. Por todo lo expuesto, se desestima la presente alegación. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por WILLOUGHBY COLLEGE, S.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 24 de enero de 2024, en el expediente EXP202207320. SEGUNDO: NOTIFICAR la presente resolución a WILLOUGHBY COLLEGE, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es