1/21
Expediente N.º: EXP202406574
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 22 de marzo de 2024 se interpuso reclamación ante la Agencia
Española de Protección de Datos por una posible infracción imputable a VOX
ESPAÑA con NIF G86867108 (en adelante, VOX).
Los hechos que se ponen en conocimiento de esta autoridad son los siguientes:
La parte reclamante expone que el partido político reclamado publicó, el día 16 de
marzo de 2024, en el perfil de Facebook de su formación en ***LOCALIDAD.1
(***LOCALIDAD.2), VOX ***LOCALIDAD.1, una imagen del acuse de recibo de una
carta certificada enviada por el partido reclamado a una sociedad municipal. La parte
reclamante fue la persona que firmó el justificante de recepción. En el documento
publicado aparecen el nombre y primer apellido de la reclamante, su firma y su DNI.
Junto al escrito, se aporta:
- perfil en Facebook de VOX ***LOCALIDAD.1 donde, entre otras publicaciones, se
puede ver el acuse de recibo con el nombre y primer apellido, así como DNI y firma de
la parte reclamante.
- Acta de manifestaciones notarial de fecha 21 de marzo de 2024, en la que se puede
leer, entre otras manifestaciones:
“que con fecha 8 de febrero de 2024, recibió carta con acuse de recibo, dirigida a la
entidad “***EMPRESA.1” en el lugar donde desarrolla su trabajo (***LOCALIDAD.1,
***LOCALIDAD.2) firmando el correspondiente justificante de recibo.
Que lógicamente, el funcionario de correos que presentó el documento, le solicitó su
Documento Nacional de Identidad y su firma (…).
Que se ha sorprendido, como el remitente de dicha carta certificada, ha publicado en
la red social “Facebook”, y en particular en la dirección de “VOX ***LOCALIDAD.1”,
fotocopia del documento de acuse de recibo, en el que consta su nombre, firma, así
como su Documento Nacional de Identidad,
Que no se ha puesto en su conocimiento que iba a ser publicado dicho documento
con sus datos personales en una red social y que no ha prestado consentimiento ni
expreso ni tácito para ello.
- que lo anteriormente narrado, (...), constituye un delito contra el derecho fundamental
a su intimidad personal, ya que sus datos personales, nombre, número de D.N.I., y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/21
firma personal, han sido apoderados por un tercero, haciendo un uso indebido
(publicación de datos en red social) revelando los mismos a otras personas, sin que
pueda (…) requirente, conocer el alcance del uso de los mismos por un tercero.
- me presenta en este momento, “pantallazo” de la página de referencia, en el que
aparece la publicación en la red social “FACEBOOK” “VOX ***LOCALIDAD.1” y de la
que resultan los datos manifestados. Yo el Notario, hago constar que coinciden los
datos presentados con los anteriormente indicados por (…) requirente, devolviendo el
documento a (…).
-que nada tiene que ver con las afirmaciones publicadas en dicha página “VOX
***LOCALIDAD.1” que resultan de publicaciones inmediatamente anteriores y que
pudieran ser malentendidas por terceros, al aparecer (…) y sus datos, a continuación
de aquellas.
- que hasta el momento actual, se comprueba por la información que arroja Facebook
y por las revisiones periódicas que desde su publicación ha ido realizando la
compareciente, que lleva cinco días publicado.
(…)”.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a VOX, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
La notificación del traslado de la reclamación, que se practicó conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en
fecha 29/04/2024, como consta en el acuse de recibo que obra en el expediente. Con
fecha 12/05/2024 se recibe en esta Agencia escrito de respuesta indicando:
La publicación ha sido un descuido realizado de manera no intencionada, el partido
desconocía esa circunstancia, en la que en un acuse de recibo aparecían esos datos
personales, y en cuanto tuvo conocimiento eliminó la misma.
TERCERO: Con fecha 30 de mayo de 2024, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.
CUARTO: Con fecha 2 de octubre de 2024 se realiza diligencia en la que se constata
que la publicación a la que hace referencia la parte reclamante ya no figura en dicha
red social.
QUINTO: Con fecha 17 de febrero de 2025, la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo
6 del RGPD, tipificada en el Artículo 83.5.a) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/21
SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis,
manifestaba lo siguiente:
1. Vulneración del principio de culpabilidad. Principio de presunción de inocencia.
Los hechos que han motivado la apertura del procedimiento sancionador, no se han
producido como consecuencia de dolo o culpa, y por tanto conculcarían el artículo 25.
1 de la Constitución Española, y la doctrina jurisprudencial.
Indica que el hecho de que se publique en la red social FACEBOOK una carta
relacionada con el grupo municipal, y que en el proceso automatizado de subida se
subieran los datos de un acuse de recibo incluido en el documento se trataría de un
descuido no culpable.
Añade que los datos del acuse de recibo son irrelevantes en la finalidad de ese
tratamiento, que no debería aparecer en la publicación, y que aparece de manera no
intencionada, por un descuido que no pretendía causar ningún perjuicio a la persona
que firmó la recepción.
Añade que la doctrina jurisprudencial es clara y entiende que está vedado cualquier
intento de construir una responsabilidad objetiva, y que en el ámbito de la
responsabilidad administrativa no basta que la conducta sea antijurídica y típica, sino
que es necesario que también sea culpable.
Por último, manifiesta que cuando fueron conscientes de la publicación la eliminaron, y
así se recoge en el acuerdo de inicio.
Asimismo, manifiesta que el Tribunal de Justicia de la Unión Europea ha determinado
en sus últimas sentencias que solo una infracción culpable del RGPD puede dar lugar
a la imposición de una multa administrativa.
De este modo, indica que el TJUE señala expresamente que el artículo 83 del RGPD
establece que no se puede aplicar una multa administrativa por una infracción del
Reglamento sin demostrar que el responsable del tratamiento cometió la infracción de
manera intencionada o negligente. Por tanto, la culpabilidad es un requisito
indispensable para imponer la multa, entendida la culpabilidad como la situación en la
que el responsable del tratamiento no podía ignorar el carácter infractor de su
conducta, fuera o no consciente de la infracción en cuestión.
Asimismo, VOX manifiesta que la presunción de inocencia es un derecho fundamental
de la ciudadanía recogido en el artículo 24.2 de la Constitución, en el artículo 6.2 del
Convenio Europeo de Derechos Humanos, y para los procedimientos administrativos,
viene recogido en el artículo 53.2.b) de la Ley 39/2015, donde se establece que el
interesado en un procedimiento administrativo tiene derecho a la presunción de no
existencia de responsabilidad administrativa mientras no se demuestre lo contrario.
Asimismo, hace referencia a:
- la STS de 10 de julio de 2007 (rec.306/2002) donde se recoge que ha de ser la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/21
Administración la que demuestre la culpabilidad pues “no es el interesado quien ha de
probar la falta de culpabilidad.”
-la STS de 27 de noviembre de 2011 (RC 2515/2009) donde se recogería que “la
carga de probar los hechos constitutivos de infracción corresponde ineludiblemente a
la Administración Pública actuante, sin que sea exigible al inculpado una probatio
diabólica de los hechos negativos”.
SÉPTIMO: Con fecha 5 de noviembre de 2025 se formuló propuesta de resolución,
proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se
sancione a VOX ESPAÑA, con NIF G86867108, por una infracción del Artículo 6 del
RGPD, tipificada en el Artículo 83.5.a) del RGPD, con una multa de 500 € (quinientos
euros).
OCTAVO: Notificada la propuesta de resolución conforme a las normas establecidas
en la LPACAP, VOX ha presentado en fecha 10 de noviembre de 2025 escrito de
alegaciones, en el que se pone de manifiesto:
1. Principio de intervención mínima (artículo 83.2 RGPD y artículo 76.2 LOPDGDD).
VOX manifiesta que la AEPD solo debe sancionar cuando la infracción revista entidad
suficiente, y que, en casos como este, en los que ha habido una difusión breve, sin
daño efectivo, sin ánimo de lucro ni reincidencia, procede aplicar el principio de
proporcionalidad y la opción del archivo.
Hace referencia a “Criterio 1/2019 de la AEPD sobre graduación de sanciones en el
que se recogería que “el ejercicio de la potestad sancionadora debe ser proporcionado
y adecuado a la naturaleza, circunstancias y entidad de los hechos, evitando sancionar
supuestos de escasa relevancia.”
2. Infracción meramente formal y subsanada.
VOX indica que la publicación se retiró voluntariamente antes de la resolución y sin
requerimiento judicial, y entiende que es lo que la doctrina de la AEPD considera un
“cese espontáneo del tratamiento” con efecto atenuante o exonerante si no persisten
daños.
Cita la resolución del PS/00486/2020 de una asociación política local en el que se
recogería que “el tratamiento cesó en cuanto se tuvo conocimiento, no existiendo
perjuicio alguno para el afectado, por lo que no procede sanción y se acuerda el
archivo.”
Esta circunstancia se cumpliría en este caso, en el que la retirada fue inmediata y
voluntaria, eliminándose cualquier acceso público y garantizándose la no reiteración
del hecho.
3. Falta de perjuicio efectivo.
El RGPD exige que el tratamiento afecte de modo real a derechos o libertades. En
ausencia de difusión masiva o perjuicio acreditado, no hay afectación relevante y, por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/21
tanto, puede aplicarse el principio de oportunidad sancionadora.
A este respecto, hace mención al dictamen 1251 del Consejo de Estado, según el cual
“el principio de proporcionalidad impone el archivo de actuaciones cuando la infracción
sea meramente formal y no haya ocasionado daño o riesgo irrelevante.”
VOX entiende que no existe constancia de perjuicio alguno derivado de la breve
publicación, ni de reclamaciones o daños patrimoniales o morales. Insiste en que el
daño potencial fue meramente hipotético, y de entidad irrelevante.
4. Falta de dolo o negligencia grave.
VOX manifiesta que esta AEPD distingue entre “error humano ocasional” y
“negligencia continuada”. Añade que sí existió formación, supervisión y retirada
inmediata, no hay culpabilidad suficiente, según el artículo 28.1 de la Ley 40/2015.
Además, cita el PS/00261/2022 y menciona “no se aprecia negligencia grave ni dolo;
el hecho se debió a error material y se subsanó con celeridad. Procede el archivo.”
Insiste en que el hecho que motivó este expediente se debió a un error involuntario,
sin ánimo de vulnerar la normativa ni obtener beneficio alguno. Además, se han
adoptado protocolos de revisión y formación interna para evitar que una situación
semejante pueda producirse.
5. Cooperación y buena fe. (artículo 83.2.f) del RGPD).
VOX quiere manifestar que la cooperación activa con la AEPD y la pronta corrección
del error constituyen atenuantes cualificados e incluso pueden justificar el archivo
conforme al principio de eficacia y economía procedimental (artículo 130.2 LPACAP).
Cita el PS/00347/2021 en el que “el reclamado colaboró en todo momento, retiró el
contenido y adoptó medidas preventivas. En virtud del principio de proporcionalidad,
se acuerda el archivo.”
Insiste en que VOX ha colaborado de forma plena y transparente con la AEPD,
aportando la información requerida y acreditando la retirada del contenido, así como
las medidas preventivas adoptadas a raíz de este hecho.
6. Principio de proporcionalidad y eficacia (artículo 89 LPACAP).
El artículo 89 de la Ley 39/2015 permite el sobreseimiento o archivo cuando la
infracción carezca de entidad suficiente, o el infractor haya corregido voluntariamente
su conducta.
Entiende que la sanción propuesta de 500 euros es desproporcionada frente a la
ausencia de perjuicio, la cooperación mostrada y las medidas correctoras adoptadas, y
que la finalidad preventiva de la norma ya se ha cumplido.
7. Solicitud de archivo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/21
En virtud de las alegaciones presentadas y conforme a los principios de intervención
mínima, proporcionalidad, falta de perjuicio efectivo y cese espontáneo del tratamiento,
procede acordar el archivo del procedimiento sancionador, sin imposición de sanción.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: VOX ***LOCALIDAD.1 envió una comunicación por correo certificado con
acuse de recibo al centro de trabajo de la parte reclamante.
SEGUNDO: La parte reclamante fue la persona encargada de recoger el escrito en
fecha 8 de febrero de 2024, firmando con su nombre, primer apellido, DNI y firma.
TERCERO: En fecha 16 de marzo de 2024 se ha publicado en la red social
FACEBOOK de VOX ***LOCALIDAD.1 el acuse de recibo del escrito enviado por VOX
con el nombre y primer apellido, DNI y firma de la parte reclamante, al ser la persona
que recogió el escrito.
CUARTO: El acta de manifestaciones otorgado ante Notario en fecha 21 de marzo de
2024 comprueba que la información lleva cinco días publicada.
QUINTO: En fecha 2 de octubre de 2024 se constata que la publicación del acuse de
recibo con el nombre y primer apellido de la parte reclamante ha sido eliminada de la
página de FACEBOOK de VOX ***LOCALIDAD.1.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
LOPDGDD, es competente para resolver este procedimiento la Presidencia de la
Agencia Española de Protección de Datos.
II
Procedimiento
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/21
III
Alegaciones al acuerdo de inicio
En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:
1. Vulneración del principio de culpabilidad. Principio de presunción de inocencia.
VOX manifiesta que los hechos que han motivado la apertura del procedimiento
sancionador no se han producido como consecuencia de dolo o culpa, sino que se
trataría de un descuido no culpable.
Además, añade que los datos del acuse de recibo son irrelevantes en el tratamiento.
A pesar de las manifestaciones de VOX, hay que tener en cuenta que los hechos que
se imputan son la publicación en la red social Facebook de un acuse de recibo con el
nombre y apellido, firma y DNI de la parte reclamante, sin mediar consentimiento por
parte de la titular de los datos personales.
Como ya se había recogido en el acuerdo de inicio, el considerando 32 del RGPD
establece que: “El consentimiento debe darse mediante un acto afirmativo claro que
refleje una manifestación de voluntad libre, específica, informada, e inequívoca del
interesado de aceptar el tratamiento de datos de carácter personal que le conciernen,
como una declaración por escrito, inclusive por medios electrónicos, o una declaración
verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger
parámetros técnicos para la utilización de servicios de la sociedad de la información, o
cualquier otra declaración o conducta que indique claramente en este contexto que el
interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el
silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a
raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no
perturbar innecesariamente el uso del servicio para el que se presta.”
A su vez, el artículo 4 del RGPD relativo a definiciones, establece en el apartado 11:
“11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen;”
Este es el hecho que se imputa a VOX ,y a pesar de las manifestaciones que realiza
en el sentido de que la doctrina jurisprudencial es clara y considera que está vedado
cualquier intento de construir una responsabilidad objetiva y que en el ámbito de la
responsabilidad administrativa no basta que la conducta sea antijurídica y típica, sino
que es necesario que también sea culpable, hay que señalar que la conducta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/21
imputada sí se ha producido de manera negligente, y así se deduce de las propias
palabras de VOX cuando manifiesta que la publicación se ha producido por un
descuido.
De este modo, el principio de responsabilidad previsto en el artículo 28.1 de la Ley
40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo
podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa."
A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de
diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica:
“76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una
infracción se ha cometido de forma intencionada o negligente y, por ello, puede
sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un
responsable del tratamiento puede ser sancionado por un comportamiento
comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter
infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del
RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y
otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo
de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de
marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244,
apartado 97).”
En esta misma línea se expresan los órganos jurisdiccionales de nuestro país.
De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección
5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS
354/2023)
(…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una
exigencia de las infracciones administrativas, ínsito en el artículo 25 de la
Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del
Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia
comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que
se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se
sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a
la terminología de la Ley de Procedimiento Administrativo Común de las
Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme
al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a
conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más
o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la
ejecución del acto para evitar el efecto pernicioso.
A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone:
“La recurrente también mantiene que no concurre culpabilidad alguna en su actuación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/21
Es cierto que el principio de culpabilidad impide la admisión en el derecho
administrativo sancionador de la responsabilidad objetiva, también es cierto, que la
ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones
normalmente se cometen por una actuación culposa o negligente, lo que es suficiente
para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente
negligente pues… debe conocer… las obligaciones que impone la LOPD a todos
aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar
el derecho fundamental a la protección de datos personales de sus clientes e
hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”.
Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22
de abril de 1991) considera que del elemento culpabilista se desprende “...que la
acción u omisión, calificada de infracción sancionable administrativamente, ha de ser,
en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia
inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a
un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino
que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia” (STS 23 de enero de 1998).
Conectada también con el grado de diligencia que el responsable del tratamiento está
obligado a desplegar en el cumplimiento de las obligaciones que le impone la
normativa de protección de datos puede citarse la Sentencia de la Audiencia Nacional
de 17 de octubre de 2007 (Rec. 63/2006), que precisó: “(...) el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible”.
A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de
carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de
los deberes que la Ley impone a las personas responsables de ficheros o del
tratamiento de datos de extremar la diligencia...” (Sentencia de la Audiencia Nacional
de 29 de junio de 2001).
Como se puede apreciar, son múltiples las sentencias que se han pronunciado al
respecto en nuestro ordenamiento.
En relación con la manifestación de VOX de que “entiende que está vedado cualquier
intento de construir una responsabilidad objetiva” hay que citar la STS 7887/2011 de
24 de noviembre de 2011, Rec. 258/2009, en la que se recoge:
"(...) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene
declarando que no cabe en el ámbito sancionador administrativo la responsabilidad
objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio
de 2005, en cuya virtud se excluye la posibilidad de imponer sanciones por el mero
resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia.
Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se
corresponde con las formas de culpabilidad dolosas o imprudentes que son
imputables a la conducta humana."
Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque
haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/21
Tribunal Supremo de 20 de noviembre de 2011, recurso de casación en interés de ley
48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de
las personas físicas. Según la STC 246/1991 "(...) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma."
A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005,
y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la
culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en
orden a la asunción de la correspondiente carga, que ordinariamente los elementos
volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta
típica probada, y que su exclusión requiere que se acredite la ausencia de tales
elementos, o en su vertiente normativa, que se ha empleado la diligencia que era
exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente
a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".
Por otro lado, en relación con las manifestaciones referidas al derecho a la presunción
de inocencia a la que VOX se refiere cuando afirma que en el artículo 53.2.b) de la Ley
39/2015, se establece que el interesado en un procedimiento administrativo tiene
derecho a la presunción de no existencia de responsabilidad administrativa mientras
no se demuestre lo contrario, hay que señalar que para que pueda apreciarse la
existencia de indefensión no resulta suficiente con que se haya producido una
infracción formal sino que ha de haberse producido una indefensión de carácter
material.
En este sentido, en palabras del TC, STC 290/1993, fundamento jurídico 4 “ Para que
pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado
al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no
basta con una vulneración meramente formal, siendo necesario que de esa infracción
formal se derive un efecto material de indefensión, un efectivo y real menoscabo del
derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente
perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento
jurídico 4º, y 112/1989, fundamento jurídico 2º)".
Sobre este particular también se ha pronunciado la Audiencia Nacional, entre otras, en
su Sentencia, Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de
2009 (rec. 638/2008), la cual señala que, “esta Sala ha reiterado en numerosísimas
ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina
del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del
acto recurrido, es preciso que no se trate de meras irregularidades procedimentales,
sino de defectos que causen una situación de indefensión de carácter material, no
meramente formal, esto es, que las mismas hayan originado al recurrente un
menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo
(SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/21
En definitiva, para que se quebrante la prohibición de indefensión es necesario que
exista, en efecto, una situación de indefensión, lo que no ha ocurrido en este caso
pues en el presente supuesto ha quedado acreditado la publicación en la red social
Facebook del nombre y apellido, así como el DNI y la firma de la parte reclamante,
circunstancia que ha sido reconocida por VOX.
Además, VOX ha sido debidamente notificado de la existencia del procedimiento
sancionador, habiendo recogido el acuerdo de inicio en fecha 19 de febrero de 2025.
Asimismo, ha presentado alegaciones al acuerdo de inicio en fecha en fecha 4 de
marzo de 2025, las cuales han sido debidamente contestadas en la propuesta de
resolución.
Así las cosas, ninguna de las circunstancias concurrentes en el caso permite excluir el
elemento subjetivo de la infracción, ni la imputación ha dado lugar a indefensión por
los motivos ya indicados, debiendo rechazarse la presente alegación.
No obstante, en el presente supuesto hay que destacar la diligencia mostrada por VOX
en la retirada de la publicación, una vez conocida la citada publicación, circunstancia
que será tenida en cuenta a la hora de fijar la cuantía de la sanción.
IV
Respuesta a las alegaciones a la propuesta de resolución del procedimiento
sancionador
1. Principio de intervención mínima (artículo 83.2 RGPD y artículo 76.2 LOPDGDD).
VOX pone de manifiesto que debe aplicarse el principio de proporcionalidad que,
según quieren manifestar, significaría que solo se debe sancionar cuando la infracción
revista entidad suficiente. No obstante, en el caso que nos ocupa, la infracción
imputada ha sido perfectamente constatada, al haberse publicado el nombre y
apellidos, así como el DNI y firma de la parte reclamante, en la página de la red social
Facebook de VOX ***LOCALIDAD.1, sin el consentimiento de la parte reclamante y
sin que sea de aplicación alguna de las bases de legitimación previstas en el artículo 6
del RGPD.
Asimismo, VOX hace referencia a un “Criterio 1/2019 de la AEPD sobre graduación de
sanciones” en el que se recogería que “el ejercicio de la potestad sancionadora debe
ser proporcionado y adecuado a la naturaleza, circunstancias y entidad de los hechos,
evitando sancionar supuestos de escasa relevancia.”
Este criterio 1/2019 como tal no ha sido publicado. Si consta la circular 1/2019, de 7 de
marzo, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos
personales relativos a opiniones políticas y envío de propaganda electoral por medios
electrónicos o sistemas de mensajería por parte de partidos políticos, federaciones,
coaliciones y agrupaciones de electores al amparo del artículo 58 bis de la Ley
Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, que no aplica en este
caso, ya que el objeto de la misma no está relacionado con los procedimientos
sancionadores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/21
En este sentido, esta Agencia no comparte la posición defendida por VOX sobre la
“escasa relevancia” del supuesto. VOX no tiene en cuenta que los datos personales de
la parte reclamante han sido difundidos a través de una red social sin ninguna
restricción de acceso, de modo que pudo ser accedida por cualquier tercero, ni
tampoco considera los riesgos que conlleva divulgar el nombre y apellido de una
persona asociado a su número de DNI y firma. Un riesgo que puede permanecer en el
tiempo incluso después de retirada la publicación.
Por lo tanto, procede rechazar la presente alegación.
2. Infracción meramente formal y subsanada.
VOX indica que la publicación se retiró voluntariamente antes de la resolución y sin
requerimiento judicial, y entiende que es lo que la doctrina de la AEPD considera un
“cese espontáneo del tratamiento” con efecto atenuante o exonerante si no persisten
daños. A este respecto, cita la resolución dictada por esta Agencia en el
PS/00486/2020 señalando que se acordó el archivo por el cese del tratamiento y la
inexistencia de perjuicio.
VOX, sin embargo, no ha acreditado cuándo tuvo lugar el “cese del tratamiento”, si
retiró la publicación del documento controvertido antes o después de conocer la
reclamación que ha motivado las actuaciones con ocasión del trámite de traslado
formalizado por esta AEPD en fecha 29/04/2024.
En todo caso, la diligencia mostrada por VOX en la retirada de la publicación es una
circunstancia que se tiene en cuenta a la hora de fijar la cuantía de la sanción,
habiendo determinado la minoración de la misma respecto de la determinada en el
acuerdo de apertura del procedimiento.
VOX cita la resolución del PS/00486/2020 de una asociación política local en el que se
recogería que “el tratamiento cesó en cuanto se tuvo conocimiento, no existiendo
perjuicio alguno para el afectado, por lo que no procede sanción y se acuerda el
archivo.”
Una vez analizado el supuesto al que hace referencia se concluye que no tiene
relación con el procedimiento que se indica por VOX. Debe aclararse que en el
PS/00486/2020 no se resolvió el archivo del procedimiento, sino que se consideró
cometida la infracción, imponiéndose un apercibimiento en lugar de sanción con multa
administrativa de conformidad con lo establecido en el artículo 77 de la LOPDGDD, al
estar incluida la entidad responsable entre las mencionadas en el apartado 1 de dicho
artículo.
Por lo tanto, procede rechazar la presente alegación.
3. Falta de perjuicio efectivo.
Según VOX, el RGPD exige que el tratamiento afecte de modo real a derechos o
libertades. En base a ello, entiende que, en ausencia de difusión masiva o perjuicio
acreditado, no hay afectación relevante y, por tanto, puede aplicarse el principio de
oportunidad sancionadora.
A este respecto, hace mención al dictamen 1251/2019 del Consejo de Estado, según
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/21
el cual “el principio de proporcionalidad impone el archivo de actuaciones cuando la
infracción sea meramente formal y no haya ocasionado daño o riesgo irrelevante.”
VOX entiende que no existe constancia de perjuicio alguno derivado de la breve
publicación, ni de reclamaciones o daños patrimoniales o morales. Insiste en que el
daño potencial fue meramente hipotético, y de entidad irrelevante.
Con relación a estas manifestaciones, hay que recordar, en contra de lo señalado por
VOX, que la infracción cometida no tiene carácter formal y que se realizó una difusión
de los datos de la parte reclamante a través de internet sin restricción alguna. Si a esto
añadimos lo indicado en el punto 1 anterior, resulta que sí se produjo una afectación
grave del derecho de la parte reclamante. En consecuencia, esta alegación no puede
ser tenida en cuenta.
4. Falta de dolo o negligencia grave.
VOX manifiesta que esta AEPD distingue entre “error humano ocasional” y
“negligencia continuada”. Añade que, si existió formación, supervisión y retirada
inmediata, no hay culpabilidad suficiente, según el artículo 28.1 de la Ley 40/2015.
Además, cita el PS/00261/2022 y menciona “no se aprecia negligencia grave ni dolo;
el hecho se debió a error material y se subsanó con celeridad. Procede el archivo.”
Insiste en que el hecho que motivó este expediente se debió a un error involuntario,
sin ánimo de vulnerar la normativa ni obtener beneficio alguno. Además, se han
adoptado protocolos de revisión y formación interna para evitar que una situación
semejante pueda producirse.
En relación con esta cuestión relativa a la culpabilidad, señalar que ya ha sido
contestada en la respuesta a las alegaciones al acuerdo de inicio, a la que nos
remitimos. A la hora de valorar la negligencia apreciada en la conducta de VOX
interesa precisar, no obstante, que los datos de la parte reclamante se difundieron a
través de una red social sin que esta difusión fuera necesaria. La propia entidad VOX
ha reconocido que los datos de la parte reclamante incluidos en el acuse de recibo
publicado son irrelevantes para la finalidad del tratamiento y que no deberían aparecer
en la publicación.
Además, VOX hace referencia al PS/00261/2022, que tampoco coincide con lo
alegado por VOX al haber finalizado el procedimiento con una infracción por el artículo
5.1.c) del RGPD. En este procedimiento se dictó resolución de finalización del
procedimiento por pago voluntario de la multa y reconocimiento de la responsabilidad
por parte de la entidad responsable.
5. Cooperación y buena fe. (artículo 83.2.f) del RGPD).
VOX quiere manifestar que la cooperación activa con la AEPD y la pronta corrección
del error constituyen atenuantes cualificados e incluso pueden justificar el archivo
conforme al principio de eficacia y economía procedimental (artículo 130.2 LPACAP).
Cita el PS/00347/2021 en el que, según VOX, “el reclamado colaboró en todo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/21
momento, retiró el contenido y adoptó medidas preventivas. En virtud del principio de
proporcionalidad, se acuerda el archivo.”
Insiste en que VOX ha colaborado de forma plena y transparente con la AEPD,
aportando la información requerida y acreditando la retirada del contenido, así como
las medidas preventivas adoptadas a raíz de este hecho.
En relación con la cooperación y buena fe, a la que se refiere el artículo 83.2.f) del
RGPD, hay que tener en cuenta que la cooperación debe considerarse algo
obligatorio, y no un factor atenuante por si solo. La retirada del contenido, que sí tuvo
como efecto limitar o evitar consecuencias negativas para la parte reclamante, ya ha
sido tenida en cuenta a la hora de graduar la cuantía de la sanción, que se ha fijado en
500 euros. Por lo tanto, esta alegación no puede ser tenida en cuenta.
En relación con el PS al que se hace referencia por parte de VOX hay que señalar que
se trataba de un caso en el que se imputaba una infracción de la LSSI y en el que no
se dan los mismos supuestos que en el caso que nos ocupa, por lo que no procede
admitir la presente alegación. De acuerdo con dicha normativa, en ese caso se acordó
la apertura de procedimiento para la imposición de un apercibimiento, que se asocia
con la posibilidad de exigir a la entidad responsable la adopción de medidas para
reparar la situación ilegal, de ahí que la corrección de los hechos determinantes de la
infracción motive el archivo del procedimiento.
6. Principio de proporcionalidad y eficacia (artículo 89 LPACAP).
El artículo 89 de la Ley 39/2015 permite el sobreseimiento o archivo cuando la
infracción carezca de entidad suficiente, o el infractor haya corregido voluntariamente
su conducta.
Entiende que la sanción propuesta de 500 euros es desproporcionada frente a la
ausencia de perjuicio, la cooperación mostrada y las medidas correctoras adoptadas, y
que la finalidad preventiva de la norma ya se ha cumplido.
Sin embargo, el artículo 89 de la Ley 39/2015 hace referencia a la propuesta de
resolución en los procedimientos de carácter sancionador, y establece:
1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las
actuaciones, sin que sea necesaria la formulación de la propuesta de resolución,
cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna
de las siguientes circunstancias:
a) La inexistencia de los hechos que pudieran constituir la infracción.
b) Cuando los hechos no resulten acreditados.
c) Cuando los hechos probados no constituyan, de modo manifiesto, infracción
administrativa.
d) Cuando no exista o no se haya podido identificar a la persona o personas
responsables o bien aparezcan exentos de responsabilidad.
e) Cuando se concluyera, en cualquier momento, que ha prescrito la infracción.
En el caso que nos ocupa, no se da ninguna de las circunstancias propias del artículo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/21
89 de la LPACAP, por lo que procede rechazar la presente alegación.
V
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que VOX ha
publicado en la red social FACEBOOK el acuse de recibo de una comunicación que
envió al lugar de trabajo de la parte reclamante, en el que consta su nombre y primer
apellido, firma y D.N.I.
VOX realiza esta actividad en su condición de responsable del tratamiento, dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
VI
Obligación incumplida. Licitud del tratamiento
El artículo 6 del RGPD, que regula la licitud del tratamiento, establece en su apartado
1 lo siguiente:
"1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/21
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones”.
En el presente caso, consta acreditado la publicación en la red social Facebook, en la
cuenta de la que es responsable VOX, de un acuse de recibo en el que consta el
nombre y primer apellido de la parte reclamante, así como su firma y su D.N.I.
VOX así lo reconoce en su escrito de fecha 12 de mayo de 2024, cuando manifiesta:
“Siendo cierta esa circunstancia, la publicación ha sido un descuido realizado de
manera no intencionada, el partido desconocía esa circunstancia, en la que en un
acuse de recibo aparecían esos datos personales, y en cuanto tuvo conocimiento
eliminó la misma.
No existe dolo, ni intencionalidad, se trata de un error humano o técnico y no un error
de derecho, en cuanto se tuvo conocimiento de ese error se eliminó la publicación.
La jurisprudencia del Tribunal Supremo afirma que en el ámbito sancionador “está
vedado cualquier intento de construir una responsabilidad objetiva” y que “en el ámbito
de la responsabilidad administrativa no basta con que la conducta sea antijurídica y
típica, sino que también es necesario que sea culpable, esto es, consecuencia de una
acción u omisión imputable a su autor por malicia o imprudencia, negligencia o
ignorancia inexcusable (…) es decir, como exigencia derivada del artículo 25.1 de la
Constitución, nadie puede ser condenado o sancionado sino por hechos constitutivos
que le puedan ser imputados a título de dolo o culpa (principio de culpabilidad)”
En relación con esta cuestión, hay que tener en cuenta que el principio de
responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de
Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por
hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así
como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las
uniones y entidades sin personalidad jurídica y los patrimonios independientes o
autónomos, que resulten responsables de los mismos a título de dolo o culpa.”
Asimismo, se hace necesario referirnos a la Sentencia del Tribunal de Justicia de la
Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/21
Wohnen), que indica:
“76 A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una
infracción se ha cometido de forma intencionada o negligente y, por ello, puede
sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un
responsable del tratamiento puede ser sancionado por un comportamiento
comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter
infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del
RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y
otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo
de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de
marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244,
apartado 97).” (el subrayado es nuestro).
A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005,
y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la
culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en
orden a la asunción de la correspondiente carga, que ordinariamente los elementos
volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta
típica probada, y que su exclusión requiere que se acredite la ausencia de tales
elementos, o en su vertiente normativa, que se ha empleado la diligencia que era
exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente
a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".
En este sentido, VOX había publicado en la red social Facebook el acuse de recibo
que contenía el nombre y primer apellido, firma y DNI de la parte reclamante. VOX ha
reconocido los hechos, pero ha manifestado que se trataría de un descuido, realizado
de manera no intencionada.
Asimismo, con fecha 2 de octubre de 2024 se ha constatado que la información a la
que se refería la parte reclamante ha sido suprimida del perfil de Facebook de VOX
***LOCALIDAD.1.
De este modo, desde esta Agencia se considera que VOX habría realizado un
tratamiento de datos de la parte reclamante sin estar amparado en ninguna de las
bases de legitimación previstas en el artículo 6 del RGPD, y sin que medie su
consentimiento, en la medida en que ha quedado constatado que ha publicado en la
red social de Facebook el acuse de recibo que contenía el nombre y primer apellido,
firma y DNI de la parte reclamante.
En este sentido, el considerando 32 del RGPD establece que: “El consentimiento debe
darse mediante un acto afirmativo claro que refleje una manifestación de voluntad
libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de
datos de carácter personal que le conciernen, como una declaración por escrito,
inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar
una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización
de servicios de la sociedad de la información, o cualquier otra declaración o conducta
que indique claramente en este contexto que el interesado acepta la propuesta de
tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/21
la inacción no deben constituir consentimiento. El consentimiento debe darse para
todas las actividades de tratamiento realizadas con el mismo o los mismos fines.
Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos
ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por
medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar
innecesariamente el uso del servicio para el que se presta.”
A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11:
“11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen;”
Por otra parte, se tiene en cuenta que la parte reclamante es una persona anónima y
que la publicación de sus datos personales no tiene ninguna relevancia pública, de
modo que su divulgación carece de interés público. Además, según se indicó
anteriormente, la propia entidad VOX ha reconocido que los datos de la parte
reclamante incluidos en el acuse de recibo publicado son irrelevantes para la finalidad
del tratamiento, lo que viene a abundar en la infracción que resulta de la publicación
de aquel documento sin haber suprimido con anterioridad los datos personales en
cuestión.
Por tanto, se considera que los hechos conocidos son constitutivos de una infracción,
imputable a VOX, por vulneración del artículo 6 del RGPD.
VII
Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del
artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;"
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/21
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679."
VIII
Sanción por la infracción del artículo 6 del RGPD
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/21
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa, además de la adopción de medidas, si procede.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se
considera que el balance de las circunstancias contempladas en el artículo 83.2 del
RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 6 del RGPD, permite fijar una sanción de multa
administrativa de 500,00 euros.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a VOX ESPAÑA, con NIF G86867108, por una infracción del
Artículo 6 del RGPD, tipificada en el Artículo 83.5.a) del RGPD, una multa de 500,00
euros (quinientos euros).
SEGUNDO: NOTIFICAR la presente resolución a VOX ESPAÑA.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/21
de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento
General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en
relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso,
indicando el NIF del sancionado y el número de procedimiento que figura en el
encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-
0000-0000-0000-0000, abierta a nombre de la Agencia Española de Protección de
Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es