1/7 Expediente nº.: EXP202213150 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por FORO ASTURIAS (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 10 de julio de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 10 de julio de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202213150, en virtud de la cual se imponía a FORO ASTURIAS Por una infracción del Artículo 5.1.
- f)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de QUINCE MIL EUROS (15.000 €) Por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD, una multa de CINCO MIL EUROS (5.000) € Dicha resolución, que fue notificada a la parte recurrente en fecha 11 de julio de 2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00678/2022, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: en la edición del diario EL PAÍS de ***FECHA.1 aparece una fotografía de una nómina de la parte reclamante en la que se puede comprobar con nitidez que revela el número de su Cuenta Corriente particular en una entidad bancaria concreta. Adicionalmente, pueden observarse otros que le son atribuibles, como la fecha de antigüedad profesional y su categoría profesional. SEGUNDO: El 18/10/22 la Sala de lo Civil de la Audiencia Provincial de Asturias dictó la sentencia ***SENTENCIA.1, que ha devenido firme, en la que se concluye: <<...el Sr. A.A.A. como ***CARGO.1 y responsable de la protección de datos debe velar porque situaciones como la enjuiciada no acontezcan, es decir, con el hecho de que informaciones de alto contenido personal como era la relativa al número de cuenta bancaria del Sr. B.B.B. no salgan a la luz pública, y es evidente que tal circunstancia aconteció (...) La responsabilidad del Sr. A.A.A. de conformidad con lo previsto en los art. 5; 24 y sig. del Reglamento 2016/679 le obliga a adoptar todas las medidas a su alcance para evitar que información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 tan delicada como la analizada salga de la sede del Partido, quedando patente que tales medidas no fueron suficientes. Por tanto, se declara la vulneración del deber de custodia, protección, circulación y tratamiento de los datos personales del Sr. B.B.B. por parte del responsable del tratamiento de datos del partido "Foro de Ciudadanos", el Sr. A.A.A. condenando a éste al pago de los daños y perjuicios generados al actor por tal acto, cuya indemnización se establecerá en un pleito posterior.>>” TERCERO: La parte recurrente ha presentado en fecha 11 de agosto de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en los siguientes dos motivos: Primero: existencia previa de expedientes con sanciones menos gravosas a otros partidos políticos. Como precedentes presuntamente a su favor, menciona los tramitados por esta Agencia con referencias PS/00013/2020 y PS/00051/2020. En ellos se sanciona a otros partidos políticos con cuantías menores o incluso con un apercibimiento. Segundo. Criterios de graduación de la cuantía de la sanción. El recurrente afirma que no habrían sido tenidas en cuenta determinadas circunstancias para la determinación, y que habrían arrojado una cuantía menor. Serían para ambas infracciones sancionadas: - La existencia de una sola persona perjudicada El hecho de que la infracción no tenga el carácter de continuada La ausencia de perjuicio para el titular de los datos. La Falta antecedentes sancionadores para el sancionado. Haberse visto afectados pocos datos afectados y en todo caso no relevantes El necesario cumplimiento de la ley de transparencia En este apartado menciona el recurrente las Directrices sobre el cálculo de las multas bajo el RGPD, en fecha 23 de mayo de 2023, aprobadas por el Comité Europeo de Protección de Datos, cuyos criterios, a su juicio, no habrían sido tenidas en cuenta por esta Agencia a la hora de determinar la cuantía de las san ciones. Concluye su escrito de recurso reconociendo el error que habría provocado el incumplimiento que dio lugar al expediente y afirmando su “redoblamiento en el compromiso del estricto cumplimiento de la normativa en materia de protección de datos”. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, y los motivos de nulidad de la resolución recurrida, procede manifestar lo siguiente: Motivo primero. Precedentes alegados a su favor por el recurrente. Estos son los siguiente: - PS/00013/2020. Este expediente concluyó con una sanción de apercibimiento dirigido al partido político infractor. Las circunstancias que concurrían en este eran las siguientes: o o o Se publicó el nombre y apellidos de la persona propietaria de una vivienda La publicación únicamente se hizo en un “tweet” En el expediente se constataba que el “tweet” había sido retirado y con ello se paralizó la difusión del dato Por el contrario, en el supuesto que nos encontramos se producen las siguientes circunstancias: o Los datos que fueron publicados fueron: Nombre y apellidos Antigüedad profesional Categoría profesional Número de la cuenta corriente Nómina del reclamante Datos económicos incluidos en la nómina, con todos los desgloses que esta contiene o La falta de medidas de seguridad y la vulneración del principio de confidencialidad llevaron a la publicación de todos estos datos en un periódico de tirada nacional. o No consta la retirada de la noticia, sino todo lo contrario su permanencia Circunstancias diferentes las que han sido tenidas en cuenta en ambos procedimientos. Debe resaltarse que se han visto comprometidos datos como las retribuciones del reclamante y, particularmente, su número de cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 corriente, lo que indudablemente puede ser utilizado para la producción de determinados fraudes, como la suplantación de personalidad o la contratación no consentida de bienes y servicios. - PS/00051/2020. Este expediente concluyó con una sanción de 1.500€ por la vulneración del artículo 6.1, esto es, por el tratamiento de datos personales sin la existencia de una base legitimadora El supuesto de hecho enjuiciado consiste en una persona afiliada al partido político, que se da de baja y pide la supresión de sus datos. Con posterioridad recibe un correo en el que le piden que sea apoderada del partido en unas elecciones. Puede observarse fácilmente que el supuesto de hecho es totalmente distinto y, por supuesto, menos grave. En el precedente propuesto por el recurrente no existe publicación ni difusión alguna de los datos de la persona reclamante. El tratamiento se reduce al uso de los datos cuando estos deberían haber sido ya suprimidos o bloqueados y únicamente la persona reclamante tuvo constancia del tratamiento. Por lo demás, la sanción impuesta es por la vulneración del artículo 6.1 del RGPD (tratamiento de datos personales sin legitimación), totalmente diferente a las infracciones contempladas en la resolución ahora recurrida, esto es, las vulneraciones del principio de confidencialidad y de la obligación de establecer las necesarias medidas de seguridad (arts. 5.1.
- f)y 32 del RGPD). Motivo segundo. Circunstancias para la graduación de la cuantía. El recurrente alega diversas circunstancias que concurrirían en el expediente y que, a su juicio, actuarían como atenuantes de cara a la determinación de la cuantía. A continuación se analizan: - La existencia de una sola persona perjudicada. Se afirma que nos encontramos ante un solo perjudicado, mientras que el partido lo conforman numerosos trabajadores y miles de afiliados. Los hechos acaecidos, concluye, se limitan y han afectado tan solo a una sola persona. - El hecho de que la infracción no tenga el carácter de continuada, sino que se produjo de manera aislada, a través de una única publicación en prensa - La ausencia de perjuicio para el titular de los datos. todavía no constan perjuicios causados a la persona interesada, habida cuenta de que la Sentencia de la Audiencia Provincial de Asturias no cuantificó en ningún momento los mismos, dejándolo para un pleito posterior. - La Falta antecedentes sancionadores para el sancionado. la ausencia de reincidencia, al no haber sido sancionado con anterioridad por la comisión de infracciones de la misma naturaleza; - Haberse visto afectados pocos datos afectados y en todo caso no relevantes en la categoría de los datos personales afectados. Afirma que “todas las remisiones en ese sentido se hacen a una sentencia civil que tan solo acredita que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 existió una publicación en prensa de la nómina del Sr. B.B.B., donde podían verse con claridad su número de cuenta bancaria, y otros datos, como su categoría profesional y su antigüedad. Echamos en falta, por tanto, una valoración pormenorizada acerca del escaso volumen y cantidad de los datos afectados, o su mínima relevancia en cuanto a que no conforman categorías especiales de datos.” - El necesario cumplimiento de la ley de transparencia. Indica el recurrente que “dado que los derechos fundamentales individuales se ven matizados por el interés general y los derechos de todos los ciudadanos afectados, por lo que deben ponderarse las obligaciones que emanan de la gestión de fondos públicos a la hora de justificar su destino.” Para contestar estas argumentaciones en primer lugar debe recordarse que en la resolución sancionadora se tomaron solo dos circunstancias como agravantes de la responsabilidad: por una parte, la negligencia grave (para el artículo 5.1.f RGPD) y por otra la vinculación con el tratamiento habitual de datos personales del reclamado (para artículos 5.1.
- f)y 32). Como consecuencia, en primer lugar, es importante establecer que ninguna de las circunstancias invocadas por el recurrente ha sido tenida en cuenta como agravante de la responsabilidad. Y es que la totalidad de circunstancias alegadas, podrían haber sido tomadas en consideración como agravante en caso de darse las mismas. A modo de ejemplo, si hubiese habido múltiples afectados, o la infracción hubiera sido continuada, o si se hubiesen constatado perjuicios específicos para el reclamante. Ahora bien, el hecho que no se tomen en consideración como agravantes no significa que, en sentido contrario, deban considerarse como atenuante. El hecho de haber un solo perjudicado o la inexistencia de perjuicios específicos derivados de la infracción hacen que no exista un factor de gravedad que incremente la sanción, pero nunca que la deba rebajar. Es decir, el ordenamiento no puede “premiar”, a modo de ejemplo, que, habiéndose cometido una infracción, esta haya tenido una sola persona afectada. En sentido contrario, sí puede “castigar” la existencia de múltiples afectados. Por lo demás, procede detenerse en el análisis de dos de las circunstancias invocadas por el recurrente: Art. 83.2.
- e)RGPD: inexistencia de infracciones anteriores cometidas por el responsable: Esta circunstancia solo puede ser tenida como agravante en caso de concurrir la existencia de infracciones anteriores. La Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, indica que “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Art. 83.2.
- g)RGPD: categorías de los datos de carácter personal afectados por la infracción: conforme a lo alegado, los datos revelados en este supuesto tendrían una “mínima relevancia en cuanto a que no conforman categorías especiales de datos”. No puede compartirse esta afirmación. Recuérdese que se han visto comprometidos datos como las retribuciones del reclamante y, particularmente, su número de cuenta corriente, lo que indudablemente puede ser utilizado para la producción de determinados fraudes, como la suplantación de personalidad o la contratación no consentida de bienes y servicios. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por FORO ASTURIAS contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 10 de julio de 2023, en el expediente EXP202213150. SEGUNDO: NOTIFICAR la presente resolución a FORO ASTURIAS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es