1/37
Expediente Nº: PS/00003/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 03/03/2020, a través del “Sistema de Información del Mercado
Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del
Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo
objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua
entre los Estados miembros y el intercambio de información, se recibió en esta
Agencia Española de Protección de Datos (AEPD) una reclamación de fecha
23/12/2018, formulada por A.A.A. (en lo sucesivo la reclamante) ante la autoridad de
protección de datos de Países Bajos (Autoreit Persoonsgegevens -AP). El traslado de
esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo
56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de
27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo
sucesivo Reglamento General de Protección de Datos o RGPD), teniendo en cuenta
su carácter transfronterizo y que esta Agencia es competente para actuar como
autoridad de control principal.
La citada reclamación se formula contra la entidad “Michael Page International” por los
motivos siguientes:
. La reclamante, ciudadana holandesa, abrió una cuenta en la versión holandesa del
portal web de Michael Page International, accesible en la URL “***URL.1”, y remitió por
ese canal, en marzo 2018, un Curriculum Vitae (CV) para la consecución de un puesto
de trabajo ofrecido por la rama holandesa del grupo PageGroup. Unos meses
después, solicitó acceso a sus datos personales a través de la dirección de e-mail
indicada en la Política de Privacidad del portal web, “***EMAIL.1”.
En respuesta a la citada solicitud de acceso, en un primer momento, la entidad
responsable exigió a la reclamante que aportara (…). Sin embargo, tras la protesta de
la solicitante, que consideró excesiva la petición de documentación, Michael Page
International rectificó (…).
. La reclamante considera que no hay motivo para solicitarle esa información
identificativa, (…), ni para remitir un CV con el fin de optar a un puesto de trabajo.
Entiende la reclamante que el acceso autenticado en la cuenta, que aún está activa,
debería ser suficiente para entender ejercitado el derecho de conformidad y acreditada
la identidad del solicitante en un sistema como el usado por el responsable, basado en
la utilización de una cuenta privada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/37
Con la reclamación se aportó copia de la correspondencia mantenida por la
reclamante con el responsable del tratamiento a raíz de la solicitud de acceso,
formulada con fecha 28/09/2018, la cual también se acompañó. Esta correspondencia
consta reseñada en los Hechos Probados 4 a 9.
La documentación de esta reclamación fue completada a través de una asistencia
voluntaria en IMI, remitida por la entidad Autoreit Persoonsgegevens con fecha
12/05/2020, incorporando la consulta que la autoridad holandesa hizo al
establecimiento que el grupo PageGroup tiene en Países Bajos (Michael Page
International - Nederland Bv), en idioma holandés, sobre la toma de decisiones
relacionadas con medios y fines de los tratamientos de datos personales que afectan a
residentes de los Estados miembros.
En la respuesta ofrecida por aquel establecimiento a la citada consulta, en idioma
inglés, se indica que, a pesar de que la sede del grupo empresarial se encuentra en
Reino Unido, el departamento encargado de la gestión de las solicitudes de acceso
para Europa continental es el equipo de Cumplimiento Legal, situado en el Centro de
Servicios Compartidos sito en Barcelona (España). La dirección postal de dicho
departamento se indica en la Política de Privacidad de la versión en holandés de la
página web del responsable, accesible en la URL “***URL.2”.
De acuerdo con dicha contestación, el establecimiento español del grupo empresarial
sería el establecimiento principal, en el sentido de la definición del artículo 4.16 del
RGPD. Así, conforme a lo dispuesto en el artículo 56.1 del RGPD, con fecha
21/05/2020, la AEPD se declaró competente para actuar como autoridad de control
principal (LSA).
Según las informaciones incorporadas al Sistema IMI, de conformidad con lo
establecido en el artículo 60 del RGPD, se han declarado interesadas en el presente
procedimiento, además de la autoridad de control que ha comunicado el caso (Países
Bajos), las de Bélgica, Irlanda, Polonia, Italia, Hungría, Portugal, Chipre y Austria, así
como las regionales alemanas de Renania del Norte-Westfalia, Renania-Palatinado,
Mecklemburgo-Pomerania Occidental, Berlín y Baviera Sector Privado.
SEGUNDO: Con arreglo al procedimiento previsto en la legislación nacional interna
(artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y Garantía de los Derechos Digitales -LOPDGDD), con fecha 11/06/2020,
la AEPD trasladó la citada reclamación al establecimiento español del grupo
PageGroup con sede en ***LOCALIDAD.1, esto es, la empresa PAGE GROUP
EUROPE, S.L. (en lo sucesivo PAGE GROUP EUROPE o entidad reclamada), para
que en el plazo de un mes acreditara haber dado respuesta a la solicitud de la
reclamante, informara sobre las causas que motivaron la incidencia producida y
detallara las medidas adoptadas para evitar situaciones similares.
En respuesta a dicho requerimiento, PAGE GROUP EUROPE aportó las
comunicaciones mantenidas con la reclamante y manifestó lo siguiente:
. Explican que son una compañía que forma parte de un grupo empresarial dedicado a
servicios de Recursos Humanos, en concreto, a la selección de personal. Por este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/37
motivo, tratan datos personales de un elevado número de candidatos en muchos
países del mundo, siendo muy habitual el ejercicio de derechos por parte de
candidatos. Para la tramitación de las solicitudes correspondientes, en cumplimiento
de su deber de confidencialidad y secreto, ha implementado un estricto proceso de
verificación de identidad para garantizar que los datos personales de los candidatos no
sean cedidos a terceros, que hayan podido hacerse con las credenciales de acceso de
personas registradas en sus sistemas con el propósito de suplantar su identidad y
realizar la solicitud en su nombre, a través de ataques de phishing o ingeniería social.
En el caso particular de la reclamante no han pretendido poner obstáculos al ejercicio
de sus derechos, sino proteger sus datos personales. (…).
(…).
Sobre esta cuestión, aporta copia de los “Modelos de contestación” utilizados
actualmente para verificar la identidad de los interesados. (…).
Posteriormente, mediante escrito de 14/08/2020, esta Agencia solicitó a PAGE
GROUP EUROPE “copia de la contestación a la solicitud de acceso planteada por la
reclamante, toda vez que ha quedado acreditada su identidad a través del proceso de
reclamación, iniciado ante la autoridad de control de Países Bajos y continuada en
esta Agencia”. Tras esta solicitud, la citada entidad procedió a dar contestación a la
solicitud de acceso formulada por la reclamante y aportó a esta Agencia copia de la
comunicación, de fecha 27/08/2020, mediante la que informa a la misma sobre los
aspectos del tratamiento que establece el artículo 15 del RGPD, así como el anexo
con los datos personales de la reclamante que obran en su poder. En el escrito de
respuesta a esta Agencia se indica que la información fue remitida por correo
electrónico.
TERCERO: Tras revisar la contestación proporcionada por la empresa reclamada,
reseñada en el Hecho anterior, esta Agencia apreció que, en la actualidad, los
procedimientos seguidos por PAGE GROUP EUROPE para la atención de derechos
en materia de protección de datos, en relación con la identificación de los solicitantes,
se ajustan a la normativa aplicable. (…).
Además, se tuvo en cuenta que, tras la intervención de esta Agencia, la solicitud de
acceso de la reclamante quedó atendida.
En consecuencia, se consideró que no existían indicios de infracción y que no
resultaba necesaria ninguna otra actuación, ni instar la adopción de medidas
adicionales, por lo que, con fecha 10/11/2020, se dictó Proyecto de Resolución de
archivo de la reclamación (Draft decisión).
CUARTO: Con fecha 10/11/2020, el Proyecto de Decisión se incorporó al Sistema IMI
a fin de que las autoridades interesadas se manifestaran al respecto.
Al término del plazo establecido, formularon objeciones al citado proyecto de archivo
las autoridades de protección de datos de Portugal (CNPD) y Berlín (The Berlin
Commissioner for Data Protection and Freedom of Information -Berlin DPA).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/37
La CNPD manifiesta que PAGE GROUP EUROPE tiene implementado un
procedimiento de atención de derechos (…).,no habiendo especificado que en el caso
de la reclamante tuviera dudas respeto de la identidad de la misma. Considera que la
citada entidad no ha ajustado su actuación a lo establecido en el artículo 12.2 del
RGPD, que obliga al responsable a facilitar el ejercicio de los derechos, salvo que no
pueda identificar al solicitante, en cuyo caso el artículo 12.6 del RGPD permite pedir
información identificativa adicional.
Entiende, también, la CNPD que el procedimiento seguido por la entidad responsable
no protege los datos de los solicitantes, ya que el tratamiento de los documentos
identificativos requeridos aumenta los riesgos para los afectados (p.ej. posible uso
para suplantación de identidad); (…). La autoridad portuguesa piensa que esto vulnera
el principio de minimización (artículo 5.1.c) del RGPD), el de privacidad por defecto y
desde el diseño (artículo 25 del RGPD) y el de medidas de seguridad (artículo 32 del
RGPD).
La CNPD aboga por una forma menos intrusiva de comprobar la identidad del
solicitante (p.ej. identificación electrónica o enviar la solicitud a través de la cuenta de
usuario junto con un factor de autenticación adicional remitido por otro canal diferente).
Berlin DPA, por su parte, aprecia también infracción del artículo 12 del RGPD,
apartados 2, 3 y 6, por razones similares a las expuestas por la autoridad portuguesa.
Considera que solo se debería solicitar información adicional si existieran dudas sobre
la identidad del interesado, solicitando información necesaria y apropiada para esa
verificación, en función de los datos disponibles del solicitante; y no comparte la
justificación alegada sobre el posible riesgo de suplantación de direcciones de e-mail.
Asimismo, (…), entiende Berlin DPA que no puede utilizarse para hacer verificaciones,
o, al menos, no sería la forma más apropiada, y se declara conforme con la
apreciación de la reclamante según la cual el acceso registrado a la cuenta privada
sería más que suficiente.
Berlín DPA apunta una posible infracción del artículo 12.3 del RGPD debido a que el
responsable no contestó en el plazo de un mes contado desde la remisión de la
solicitud.
Se opone a que la reclamación sea rechazada y considera procedente identificar las
infracciones y adoptar acciones correctoras contra el responsable, de modo que pueda
corregir sus procedimientos para evitar poner en riesgo los derechos de otros
solicitantes o las trabas en su ejercicio.
QUINTO: Se toman en consideración las objeciones planteadas por las autoridades de
protección de datos indicadas en el Antecedente anterior y, con fecha 11/12/2020, se
acuerda admitir a trámite la reclamación comunicada por la autoridad de protección de
datos de Países Bajos (Autoreit Persoonsgegevens -AP), por la presunta infracción de
lo establecido en el artículo 15 del RGPD, sin perjuicio de lo que pueda determinarse
en el curso de la tramitación de la citada reclamación.
SEXTO: Con fecha 26/02/2021, por la Subdirección General de Inspección de Datos
se accede a la web “www.michaelpage.es” y se obtiene información disponible sobre
PageGroup.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/37
En la información corporativa que consta en el apartado “Quienes somos” de dicha
web se indica:
“PageGroup es la consultora líder a nivel internacional en selección de mandos cualificados,
intermedios y directivos con carácter temporal e indefinido. Se estableció en el Reino Unido en
1976 y desde 2001 cotiza en la bolsa de Londres. Con una red de 140 oficinas propias,
operamos en 36 países del mundo. En España ofrecemos cobertura a nivel nacional con
oficinas físicas en Madrid, Barcelona, Valencia, Sevilla, Bilbao y Zaragoza a través de los
cuales brindamos servicios de reclutamiento y oportunidades de carrera a nivel local, regional y
global. Dentro del grupo tenemos distintas marcas, cada una experta en su mercado” .
(…).
(…).
(…).
SÉPTIMO: Con fecha 02/06/2021, de conformidad con lo establecido en el artículo 64
de la LOPDGDD, apartados 2 (párrafo tercero) y 3, se dictó proyecto de acuerdo de
inicio de procedimiento sancionador, motivado por la reclamación recibida a través del
Sistema IMI que consta reseñada en el Antecedente Primero. Este proyecto toma en
consideración las objeciones reseñadas en el Antecedente Cuarto (proyecto de
decisión revisada).
Siguiendo el procedimiento establecido en el artículo 60 del RGPD, con fecha
13/03/2020, el citado proyecto de apertura de procedimiento sancionador fue
transmitido a través del Sistema IMI a las autoridades de control interesadas,
haciéndoles saber que, en caso de que no se formulasen objeciones en el plazo de
dos semanas desde la consulta, se adoptaría el preceptivo acuerdo de apertura de
procedimiento sancionador.
Ninguna de las autoridades de control interesadas ha formulado objeción alguna al
proyecto de acuerdo de apertura de procedimiento sancionador adoptado por la
AEPD, entendiéndose, por tanto, que existe acuerdo sobre el mismo.
OCTAVO: Con fecha 29/06/2021, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la entidad PAGE GROUP
EUROPE, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(en adelante, LPACAP), por la presunta infracción de los artículos 5.1.c) y 12 del
RGPD, tipificadas en los artículos 83.5.a) y b) del mismo Reglamento,
respectivamente; determinando que la sanción que pudiera corresponder ascendería a
un total de 300.000 euros (250.000 euros por la infracción del artículo 5.1.c) y 50.000
euros por la infracción del artículo 12, ambos del RGPD), sin perjuicio de lo que resulte
de la instrucción.
En el mismo acuerdo de apertura del procedimiento se advertía que las infracciones
imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo
con lo establecido en el citado artículo 58.2 d) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/37
NOVENO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para
formular alegaciones, PAGE GROUP EUROPE presentó escrito de fecha 21/07/2021,
en el que solicita que se mantenga el criterio inicial de la AEPD y se acuerde el archivo
del procedimiento sancionador o, subsidiariamente, que se reconsidere la multa
propuesta valorando el apercibimiento que prevé la normativa. En síntesis, la citada
entidad basa su petición en las consideraciones siguientes:
1. Con carácter previo, destaca la buena fe y voluntad de cumplimiento que ha regido
su actuación y las políticas internas aplicadas, y manifiesta su intención de aportar con
sus alegaciones mayor información y claridad sobre el caso, a pesar de que conlleva
una renuncia a la aplicación de la reducción de la sanción propuesta, en el
convencimiento de que han seguido las recomendaciones de las autoridades y que su
motivación no fue otra que un exceso de celo en la protección de los datos personales
para no entregar datos a persona distinta del titular real de los datos. Añade que la
cuestión suscitada tiene que ver con una interpretación de la norma, aún de reciente
aplicación.
2. Entiende contradictorio que se exprese en los Fundamentos de Derecho del
acuerdo de apertura que el resultado del trámite de traslado “no fue satisfactorio”,
cuando en los Antecedentes Segundo y Tercero se indica que la reclamada dio
contestación a la solicitud de acceso formulada por la reclamante, (…), concluyendo
que no existían indicios de infracción ni resultaba necesaria la adopción de medidas
adicionales.
En base a ello, solicita que se revisen nuevamente los documentos obrantes en el
expediente, aclarando al respecto, para el caso de que aquella afirmación esté
motivada por la ausencia de contestación al primer requerimiento de la autoridad de
Países Bajos, que en junio de 2019 se dispuso el acceso a la dirección ***EMAIL.2 a
personas del equipo de Cumplimiento Legal de manera temporal, (…), si bien, por
algún motivo técnico la conexión no fue efectiva hasta finales de agosto, sin que fuera
posible recuperar los emails recibidos en el ínterin.
Tan pronto como tuvo constancia de que la autoridad de protección de datos de
Países Bajos (Autoreit Persoonsgegevens -AP) había enviado 2 emails el 23/07/2019,
procedió a contactar con la misma, aunque no consta haber recibido respuesta.
Posteriormente, en fecha 30/08/2019 la entidad Autoreit Persoonsgegevens envió una
carta directamente a Michael Page International - Nederland Bv, a lo que dio
contestación con fecha 27/09/2019.
3. En relación con la presunta infracción del artículo 5.1.c), pone en valor la revisión de
sus políticas internas que llevó a cabo en 2016-2018 para adaptarlas a la nueva
normativa, sobre la que no se disponían de criterios orientadores a la hora de
interpretar conceptos novedosos como el principio de minimización de datos o la
privacidad desde el diseño o por defecto, por lo que intentó conjugar medidas y
recomendaciones que permanecían vigentes con una interpretación de la nueva
normativa orientada a un estricto cumplimiento de la misma.
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/37
(…).
(…).
Por otra parte, sobre la interpretación que Berlin DPA realiza sobre la forma apropiada
de verificar la identidad de los interesados que ejercitan un derecho, la entidad
reclamada entiende que tales apreciaciones derivan de la idiosincrasia local y pueden
estar motivadas por cuestiones históricas, heredadas de normativas locales anteriores,
aspectos culturales o de cumplimiento, que se irán definiendo y homogeneizando en
los próximos años.
(…).
(…).
Por otra parte, la entidad reclamada dice haber estudiado que la autoridad de Países
Bajos ha sido activa en lo que respecta al tratamiento ilegal del BSN (número de
identificación personal) y ha tomado varias medidas de aplicación antes de la entrada
en vigor del RGPD, entre ellas:
. Airbnb trató ilegalmente el BSN (a través de copias completas de los documentos de
identidad) y la DPA publicó sus conclusiones al respecto. No se impuso ninguna multa
ni se publicó ningún informe de investigación después de que Airbnb cambiara sus
operaciones.
. Una empresa de transporte de mercancías llamada Nippon Express procesó copias
completas de los documentos de identidad y los BSN de los camioneros que entraban
en los locales para recoger la carga. Esto era ilegal según la DPA de Países Bajos y
publicó un informe de investigación sin sancionar a la empresa tras modificar sus
procedimientos.
Como se puede entender, y más adelante se desarrollará, la entidad reclamada no
obtiene ningún beneficio de dilatar o, supuestamente, obstaculizar el ejercicio de un
derecho que implica la entrega de una información al interesado. No se trata de una
baja en un servicio o de una oposición a un determinado tratamiento que la entidad
tuviese interés en mantener.
(…).
En base a esto, solicita que se reconsideren las alegaciones de Berlín DPA y la CNPD
que hicieron cambiar el criterio de la AEPD, que decidió archivar el expediente al no
apreciar intencionalidad en la acción llevada a cabo por PAGE GROUP EUROPE, por
la ausencia de beneficio y la mejora implementada.
(…).
Considerando esta ausencia de tratamiento ulterior y que el tratamiento llevado a cabo
era muy limitado en el tiempo, al igual que el acceso a la información en cuestión, la
entidad reclamada estima que se cumple lo indicado en el Considerando 156 del
RGPD: “Las condiciones y garantías en cuestión pueden conllevar procedimientos
específicos para que los interesados ejerzan dichos derechos si resulta adecuado a la
luz de los fines perseguidos por el tratamiento específico, junto con las medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/37
técnicas y organizativas destinadas a minimizar el tratamiento de datos personales
atendiendo a los principios de proporcionalidad y necesidad”; se entendió, tras
estudiarlo, que esta medida era necesaria, proporcional e idónea para proteger los
derechos de la interesada.
5. Con el requisito comentado, la reclamada no intentó dilatar, entorpecer u
obstaculizar el ejercicio de derechos por parte del afectado, ni obtenía beneficio de
aquella práctica, que requería diseñar un procedimiento específico e invertir recursos
en la gestión y seguimiento. Si finalmente, se determina que tal procedimiento no
estaba diseñado de forma correcta, lo único que se puede achacar es un exceso de
celo en su voluntad de cumplimiento, para asegurar que no se entregaban datos a
persona distinta a su titular, pero no de que con esta solicitud se quisieran poner
trabas al ejercicio.
(…).
6. Respecto de la presunta infracción del artículo 12 del RGPD, la reclamada formula
alegaciones con las que pretende dar respuesta a los argumentos puestos de
manifiesto por las autoridades de protección de datos de Berlín y Portugal, sin bien
comienza insistiendo en que la entidad trata con alerta las solicitudes de acceso
porque no son frecuentes en su actividad, dado que son los propios interesados los
que facilitan directamente sus datos personales y tienen la información a su
disposición en su área personal.
Respecto de lo indicado por Berlin DPA, que no comparte el posible riesgo de
suplantación de direcciones de e-mail, la reclamada pone de manifiesto que existen
estudios y estadísticas que demuestran la hipótesis de que la solicitud del derecho de
acceso del RGPD puede ser un punto de vulnerabilidad a los ataques de ingeniería
social.
Y añade:
“Por citar alguno de los referidos estudios, James Pavur (DPhil Researcher Oxford University) y
Casey Knerr (Security Consultant Dionach LTD) indican en su publicación “GDPArrrrr: Using
Privacy Laws to Steal Identities” (la traducción es nuestra a efectos de homogeneidad en el
idioma del documento):
“En este trabajo, hemos planteado la hipótesis de que el derecho de solicitud de acceso puede
ser un punto de vulnerabilidad a los ataques de ingeniería social. A través de un experimento
que abarcó 150 organizaciones, demostramos la viabilidad en el mundo real de tales ataques.
Descubrimos que una gran proporción de organizaciones no verifican adecuadamente la
identidad de origen de las solicitudes de acceso y que, como resultado, la información
profundamente sensible puede ser adquirida de manera repetible y escalable por la ingeniería
social. Sugerimos una serie de medidas correctoras centradas en los individuos, las empresas
y los legisladores, para ayudar a mitigar estos ataques.
(…)
Solicitar una identificación con foto emitida por el gobierno es probablemente la forma más
sólida de prevenir este ataque. Sin embargo, las organizaciones que no sean capaces de
proteger adecuadamente estos datos, o de verificar su autenticidad, deberían considerar la
posibilidad de subcontratar estos servicios a un tercero.
Las empresas también deberían evaluar periódicamente su proceso de solicitud de acceso del
sujeto en busca de vulnerabilidades y formar a los representantes individuales del servicio en la
detección y respuesta a tales ataques. La incorporación de solicitudes de acceso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/37
malintencionadas…”.
El propio considerando 64 del RGPD establece que “el responsable del tratamiento
debe utilizar todas las medidas razonables para verificar la identidad de los
interesados que soliciten acceso”. Asimismo, el artículo 12.6 del RGPD establece que
“cuando el responsable del tratamiento tenga dudas razonables en relación con la
identidad de la persona física que cursa la solicitud a la que se refieren los artículos 15
a 21, podrá solicitar que se facilite información adicional necesaria para confirmar la
identidad del interesado”.
En España, la necesidad de aportar el DNI o documento equivalente por parte del
interesado estaba prevista en el artículo 25 del derogado, en su casi totalidad, Real
Decreto 1720/2007. Dicho artículo indicaba que la comunicación de ejercicio de los
derechos dirigida al responsable debería ir acompañada de una fotocopia del
documento nacional de identidad del interesado, o de su pasaporte u otro documento
válido que lo identifique.
La propia Agencia Española de Protección de Datos (AEPD), en su “Guía para el
Ciudadano” indica que, “si el responsable tiene dudas sobre la identidad del
interesado, podrá solicitar información adicional para confirmar la misma, como la
fotocopia del DNI, pasaporte u otro documento válido”.
Asimismo, los formularios que la AEPD diseñó como modelos para el ejercicio de
derechos y que presenta como modelos para ser utilizados por los ciudadanos,
incluyen la siguiente instrucción:
“2. Será necesario aportar fotocopia del D.N.I. o documento equivalente que acredite
la identidad y sea considerado válido en derecho, en aquellos supuestos en que el
responsable tenga dudas sobre su identidad. En caso de que se actúe a través de
representación legal deberá aportarse, además, DNI y documento acreditativo de la
representación del representante”.
Por tanto, se trata de una práctica habitual, al menos en España, residencia de nuestra
empresa, que no vulnera el principio de minimización de datos, el cual exige que los
datos personales sean adecuados, pertinentes y limitados a lo necesario en relación
con los fines para los que son tratados.
(…).
(…).
(…).
7. Destaca una vez más la buena fe y grado de colaboración mostrados, habiendo
modificado el procedimiento interno de gestión de derechos como sigue:
(…).
(…).
8. Alude al archivo de las actuaciones adoptado inicialmente por la AEPD y a las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/37
objeciones de las autoridades portuguesa (CNPD) y alemana (Berlin DPA), para poner
de manifiesto la incertidumbre que provoca la falta de unidad de criterio para verificar
la identidad en línea durante la gestión de un derecho de acceso.
El RGPD no establece, como hacía la anterior normativa, el listado de medidas de
seguridad que los responsables deben adoptar; ahora cada responsable debe realizar
su propio análisis de riesgos y determinar qué medidas debe adoptar para mitigarlos, y
así lo reconoció la AEPD, (…).
Se trata esta de una interpretación realizada en base al análisis de riesgos y desde la
buena fe y el convencimiento de una buena actuación, aplicando los principios de
minimización, privacidad desde el diseño y por defecto, sobre un asunto específico
(solicitud de identificación en el derecho de acceso) sobre el que no hay criterio ni guía
publicados.
9. Sobre los criterios de graduación de la sanción, manifiesta lo siguiente:
. La negligencia en la comisión de la infracción debe apreciarse cuando la conducta se
aleje de los estándares reconocidos y, (…). Además, considera que debe tenerse en
cuenta la actitud proactiva y de mejora demostrada.
(…).
. La valoración del número de interesados debe considerar las solicitudes de ejercicios
de derechos recibidas desde que el RGPD es de plena aplicación, ya detalladas.
. Es la primera vez que la entidad reclamada es objeto de un procedimiento
sancionador, cumpliendo hasta ahora las obligaciones dispuestas en la normativa
aplicable, así como los criterios establecidos por las autoridades supervisoras.
A este respecto, solicita que se valore la imposición de un apercibimiento en especial
atención a la naturaleza, escasa gravedad y corta duración de la infracción, a su
carácter no intencional, a las medidas tomadas para paliar los daños y perjuicios
sufridos y al grado de responsabilidad demostrado por la entidad.
PAGE GROUP EUROPE, con su escrito de alegaciones a la apertura del
procedimiento, aportó los siguientes Documentos:
. Copia del documento denominado “Proceso de solicitud de datos del RGPD de la
UE”. Las previsiones que contiene sobre la validación de las solicitudes de derechos y
la verificación de la identidad de los solicitantes constan reseñadas en el Hecho
probado 12.
. Registro correos recibidos durante ínterin del fallo técnico en email del DPD.
. Correo de 26/08/2019, enviado a la autoridad de Países Bajos solicitando el envío de
la comunicación extraviada.
. Correo con la documentación remitida en septiembre de 2019 a la autoridad de
protección de datos de Países Bajos.
DÉCIMO: Con fecha 24/11/2021, se emitió propuesta de resolución en el sentido
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/37
1. Que por la Directora de la AEPD se sancione a PAGE GROUP EUROPE, por una
infracción del artículo 12 del RGPD, tipificada en el Artículo 83.5.b) del RGPD y
calificada como leve a efectos de prescripción en el artículo 74.c) de la LOPDGDD,
con una multa por importe de 50.000 euros (cincuenta mil euros).
2. Que por la Directora de la AEPD se sancione a PAGE GROUP EUROPE, por una
infracción del artículo 5.1.c) del RGPD, tipificada en el artículo 83.5.a) y calificada
como muy grave a efectos de prescripción en el artículo 72.1.a) de la LOPDGDD, con
una multa por importe de 250.000 euros (doscientos cincuenta mil euros).
La citada propuesta de resolución fue notificada a la entidad PAGE GROUP EUROPE
en la misma fecha del 24/11/2021. En esta notificación se informaba a dicha entidad
que, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, puede, en
cualquier momento anterior a la resolución del procedimiento, llevar a cabo el pago
voluntario de la sanción propuesta, lo que supondría una reducción de un 20% del
importe de la misma. Con la aplicación de esta reducción, la sanción quedaría
establecida en 240.000 euros (doscientos cuarenta mil euros) y su pago implicaría la
terminación del procedimiento. Asimismo, se advertía que la efectividad de esta
reducción está condicionada al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa contra la sanción.
DECIMOPRIMERO: En fecha 02/12/2021, la parte reclamada ha procedido al pago de
la sanción en la cuantía de 240.000 euros, haciendo uso de la reducción prevista en el
artículo 85 de la LPACAP, lo que implica la terminación del procedimiento y conlleva la
renuncia a cualquier acción o recurso en vía administrativa contra la sanción.
DECIMOSEGUNDO: Con fecha 03/12/2021, tuvo entrada en esta Agencia un escrito
de la entidad PAGE GROUP EUROPE, de 02/12/2021, mediante el que aporta copia
del justificante del pago realizado, con el que pretende “dar por cerrado” el
procedimiento. En este mismo escrito, la citada entidad advierte sobre la
confidencialidad de los procesos internos corporativos.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
1. La entidad Michael Page International es una empresa con sede en Reino Unido,
matriz del grupo empresarial PageGroup. Está dedicada a la selección de personal y
opera bajo diversas marcas, entre ellas, “Michael Page”. Dispone de filiales en
numerosos países europeos, siendo la filial de Países Bajos la entidad Michael Page
International - Nederland B.V.
Una de las filiales españolas del Grupo, con sede en ***LOCALIDAD.1, PAGE
GROUP EUROPE, S.L., se encarga, a través de su departamento de Cumplimiento
Legal, de gestionar las solicitudes de ejercicio de derechos en materia de protección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/37
de datos personales que los interesados formulen ante las entidades del grupo
PageGroup en Europa. La dirección postal de esta filial española se indica como dato
de contacto para el ejercicio de estos derechos en la Política de Privacidad de la
entidad, tanto en España como en la versión de Países Bajos.
2. Los sitios web de PageGroup incluyen un formulario habilitado para que los
interesados puedan enviar su CV a la entidad filial correspondiente.
3. La reclamante, ciudadana holandesa, abrió una cuenta en el portal web de Michael
Page International - Nederland B.V., accesible en la URL “***URL.1”, y remitió por ese
canal, en marzo 2018, un Curriculum Vitae (CV) para la consecución de un puesto de
trabajo ofrecido por esta filial holandesa del grupo PageGroup.
4. Mediante correo electrónico de fecha 28/09/2018, remitido desde la dirección
“***EMAIL.3”, la misma que consta registrada en la base de datos de PageGroup, la
reclamante solicitó el acceso a sus datos personales, detallando expresamente en su
solicitud que se le remita copia de sus datos y su interés en conocer los fines para los
que son tratados los datos, las categorías de datos personales sometidos a
tratamiento, los destinatarios, así como la base jurídica de cada operación de
tratamiento. Dicho correo electrónico se remitió a la dirección “***EMAIL.1”, que
coincide con la indicada a tales efectos en la Política de Privacidad accesible a través
del portal web.
En este correo, la reclamante advierte que recibe correos periódicos de la entidad y
que ello prueba que la misma dispone de sus datos personales.
5. Mediante correo electrónico de fecha 02/10/2018, remitido desde la dirección
“***EMAIL.1”, PageGroup respondió al correo de la reclamante de 28/09/2018
señalando que para atender la solicitud de acceso formulada resultaba necesario
confirmar su identidad y probar su domicilio. (…). Se indica, asimismo, que dicha
documentación puede enviarse a la dirección “***EMAIL.1” o al departamento de
Cumplimiento Legal, por correo postal dirigido a la dirección de PAGE GROUP
EUROPE en ***LOCALIDAD.1.
(…).
(…).
7. Con fecha 22/10/2018, el Departamento de Cumplimiento Legal de PageGRoup
remitió un correo electrónico a la reclamante, desde la dirección “***EMAIL.1”, en el
que reiteran la necesidad de verificar su identidad e insisten en la petición de
documentación anterior.
8. Con fecha 11/11/2018, mediante correo electrónico remitido a la dirección
“***EMAIL.1”, la reclamante, después de resumir los hechos y destacar su interés en
conocer las comunicaciones de datos personales realizadas a terceros y los datos
concretos compartidos, reiteró sus manifestaciones anteriores sobre la documentación
exigida para atender esa solicitud, que considera excesiva, y advirtió sobre la
posibilidad de formular reclamación ante la autoridad de protección de datos de Países
Bajos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/37
9. Con fecha 12/11/2018, el Departamento de Cumplimiento Legal de PageGRoup
remitió un correo electrónico a la reclamante, desde la dirección “***EMAIL.1”,
informando que han revisado su (…).
10.Mediante escrito de 14/08/2020, esta Agencia solicitó a PAGE GROUP EUROPE
“copia de la contestación a la solicitud de acceso planteada por la reclamante, toda
vez que ha quedado acreditada su identidad a través del proceso de reclamación,
iniciado ante la autoridad de control de Países Bajos y continuada en esta Agencia”.
Tras esta solicitud, la citada entidad procedió a dar contestación a la solicitud de
acceso formulada por la reclamante y aportó a esta Agencia copia de la comunicación,
de fecha 27/08/2020, que da respuesta a la solicitud de acceso formulada por la
reclamante, así como el anexo con los datos personales de la misma que obran en
poder de PageGroup. En el escrito de respuesta a esta Agencia se indica que la
información fue remitida por correo electrónico.
(…).
(…).
12. La entidad PAGE GROUP EUROPE, con su escrito de alegaciones a la apertura
del procedimiento, ha aportado copia del documento denominado “Proceso de
solicitud de datos del RGPD de la UE”.
(…).
(…).
(…).
(…).
En cuanto a la entrega de del documento mediante el que se atiende el derecho de
acceso y se facilita la información correspondiente al interesado, el procedimiento
diseñado por la entidad reclamada contempla su envío mediante correo electrónico,
protegido con una contraseña que se remite en correo distinto.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de
Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para iniciar
este procedimiento.
El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en
la presente ley orgánica, por las disposiciones reglamentarias dictadas en su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/37
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas
generales sobre los procedimientos administrativos”.
Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los
poderes de investigación y correctivos que la autoridad de control puede disponer al
efecto, mencionando en el punto 1.d), el de “notificar al responsable o encargo del
tratamiento las presuntas infracciones del presente Reglamento”; Y en el 2.i), el de
“imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada
caso”.
El caso examinado está motivado por una reclamación de carácter transfronterizo
formulada ante la autoridad de protección de datos de Países Bajos (Autoreit
Persoonsgegevens -AP), contra un grupo empresarial que tiene sede en Reino Unido.
Sin embargo, el departamento encargado de la gestión de las solicitudes de acceso
para Europa continental es el equipo de Cumplimiento Legal de la filial del Grupo
PAGE GROUP EUROPE, con sede en España. Este establecimiento español de
PageGroup es el establecimiento principal del Grupo, en el sentido de la definición del
artículo 4.16 del RGPD. Así, conforme a lo dispuesto en el artículo 56.1 del RGPD, la
AEPD es la competente para actuar como autoridad de control principal.
Se tienen en cuenta las siguientes “definiciones” establecidas en el artículo 4 del
RGPD:
“16) establecimiento principal:
a) en lo que se refiere a un responsable del tratamiento con establecimientos en más de un
Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones
sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable
en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en
cuyo caso el establecimiento que haya adoptado tales decisiones se considerará
establecimiento principal”.
“21) autoridad de control: la autoridad pública independiente establecida por un Estado
miembro con arreglo a lo dispuesto en el artículo 51”.
“22) autoridad de control interesada: la autoridad de control a la que afecta el tratamiento de
datos personales debido a que:
a.- El responsable o encargado del tratamiento está establecido en el territorio del Estado
miembro de esa autoridad de control;
b.- Los interesados que residen en el Estado miembro de esa autoridad de control se ven
sustancialmente afectados o es probable que se vean sustancialmente afectados por el
tratamiento, o
c.- Se ha presentado una reclamación ante esa autoridad de control”.
“23) tratamiento transfronterizo:
a) el tratamiento de datos personales realizado en el contexto de las actividades de
establecimientos en más de un Estado miembro de un responsable o un encargado del
tratamiento en la Unión, si el responsable o el encargado está establecido en más de un
Estado miembro,
o b) el tratamiento de datos personales realizado en el contexto de las actividades de un único
establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta
sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado
miembro”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/37
Según las informaciones incorporadas al Sistema IMI, de conformidad con lo
establecido en el artículo 60 del RGPD, en el presente procedimiento actúan en
calidad de “autoridades de control interesadas” las autoridades de protección de datos
personales de Países Bajos, Bélgica, Irlanda, Polonia, Italia, Hungría, Portugal, Chipre
y Austria, así como las regionales alemanas de Renania del Norte-Westfalia, Renania-
Palatinado, Mecklemburgo-Pomerania Occidental, Berlín y Baviera Sector Privado.
II
El artículo 56.1 del RGPD, relativo a la “Competencia de la autoridad de control
principal”, establece lo siguiente:
“1. Sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento
principal o del único establecimiento del responsable o del encargado del tratamiento será
competente para actuar como autoridad de control principal para el tratamiento transfronterizo
realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido
en el artículo 60”.
Dicho artículo 60 regula la “Cooperación entre la autoridad de control principal y las
demás autoridades de control interesadas”:
“1. La autoridad de control principal cooperará con las demás autoridades de control
interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso. La
autoridad de control principal y las autoridades de control interesadas se intercambiarán toda
información pertinente.
2. La autoridad de control principal podrá solicitar en cualquier momento a otras autoridades de
control interesadas que presten asistencia mutua con arreglo al artículo 61, y podrá llevar a
cabo operaciones conjuntas con arreglo al artículo 62, en particular para realizar
investigaciones o supervisar la aplicación de una medida relativa a un responsable o un
encargado del tratamiento establecido en otro Estado miembro.
3. La autoridad de control principal comunicará sin dilación a las demás autoridades de control
interesadas la información pertinente a este respecto. Transmitirá sin dilación un proyecto de
decisión a las demás autoridades de control interesadas para obtener su dictamen al respecto
y tendrá debidamente en cuenta sus puntos de vista.
4. En caso de que cualquiera de las autoridades de control interesadas formule una objeción
pertinente y motivada acerca del proyecto de decisión en un plazo de cuatro semanas a partir
de la consulta con arreglo al apartado 3 del presente artículo, la autoridad de control principal
someterá el asunto, en caso de que no siga lo indicado en la objeción pertinente y motivada o
estime que dicha objeción no es pertinente o no está motivada, al mecanismo de coherencia
contemplado en el artículo 63.
5. En caso de que la autoridad de control principal prevea seguir lo indicado en la objeción
pertinente y motivada recibida, presentará a dictamen de las demás autoridades de control
interesadas un proyecto de decisión revisado. Dicho proyecto de decisión revisado se
someterá al procedimiento indicado en el apartado 4 en un plazo de dos semanas.
6. En caso de que ninguna otra autoridad de control interesada haya presentado objeciones al
proyecto de decisión transmitido por la autoridad de control principal en el plazo indicado en los
apartados 4 y 5, se considerará que la autoridad de control principal y las autoridades de
control interesadas están de acuerdo con dicho proyecto de decisión y estarán vinculadas por
este.
7. La autoridad de control principal adoptará y notificará la decisión al establecimiento principal
o al establecimiento único del responsable o el encargado del tratamiento, según proceda, e
informará de la decisión a las autoridades de control interesadas y al Comité, incluyendo un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/37
resumen de los hechos pertinentes y la motivación. La autoridad de control ante la que se haya
presentado una reclamación informará de la decisión al reclamante.
(…)
12. La autoridad de control principal y las demás autoridades de control interesadas se
facilitarán recíprocamente la información requerida en el marco del presente artículo por
medios electrónicos, utilizando un formulario normalizado”.
Sobre las cuestiones reguladas en estos preceptos, se tiene en cuenta lo señalado en
los Considerandos 124, 125, 126 y 130 del RGPD, en particular lo siguiente:
(124) “…Dicha autoridad (la autoridad principal) debe cooperar con las demás autoridades
interesadas…”.
(125) “En su calidad de autoridad principal, la autoridad de control debe implicar estrechamente
y coordinar a las autoridades de control interesadas en el proceso de toma de decisiones”.
(126) “La decisión debe ser acordada conjuntamente por la autoridad de control principal y las
autoridades de control interesadas…”.
(130) “Cuando la autoridad de control ante la cual se haya presentado la reclamación no sea la
autoridad de control principal, esta última debe cooperar estrechamente con la primera con
arreglo a las disposiciones sobre cooperación y coherencia establecidas en el presente
Reglamento. En tales casos, la autoridad de control principal, al tomar medidas concebidas
para producir efectos jurídicos, incluida la imposición de multas administrativas, debe tener en
cuenta en la mayor medida posible la opinión de la autoridad de control ante la cual se haya
presentado la reclamación y la cual debe seguir siendo competente para realizar cualquier
investigación en el territorio de su propio Estado miembro en enlace con la autoridad de control
competente”.
De conformidad con lo establecido en el artículo 4.24 del RGPD, se entiende por
“objeción pertinente y motivada” lo siguiente:
“La objeción a una propuesta de decisión sobre la existencia o no de infracción del presente
Reglamento, o sobre la conformidad con el presente Reglamento de acciones previstas en
relación con el responsable o el encargado del tratamiento, que demuestre claramente la
importancia de los riesgos que entraña el proyecto de decisión para los derechos y libertades
fundamentales de los interesados y, en su caso, para la libre circulación de datos personales
dentro de la Unión”.
De conformidad con lo establecido en las normas anteriores, en el presente supuesto,
referido a una reclamación presentada ante la autoridad de control de un Estado
miembro (Países Bajos), en relación con tratamientos en el contexto de las actividades
de un establecimiento de un responsable que afectan o es probable que afecten
sustancialmente a interesados en más de un Estado miembro (tratamientos de datos
transfronterizos), la autoridad de control principal, en este caso la Agencia Española
de Protección de Datos, está obligada a cooperar con las demás autoridades
interesadas.
La Agencia Española de Protección de Datos, en aplicación de los poderes que le
confiere el RGPD, es la competente para adoptar las decisiones concebidas para
producir efectos jurídicos, ya sea la imposición de medidas que garanticen el
cumplimiento de las normas o la imposición de multas administrativas. No obstante,
viene obligada a implicar estrechamente y coordinar a las autoridades de control
interesadas en el proceso de toma de decisiones y tener en cuenta su opinión en la
mayor medida. Se establece, asimismo, que la decisión vinculante que deba adoptarse
se acuerde conjuntamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/37
El artículo 60 del RGPD regula esta cooperación entre la autoridad de control principal
y las demás autoridades de control interesadas. El apartado 3 de este artículo
establece expresamente que la autoridad de control principal transmitirá a las demás
autoridades de control interesadas, sin dilación, un proyecto de decisión para obtener
su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista,
siguiendo para ello el procedimiento previsto en los apartados 4 y siguientes. Las
autoridades de control interesadas disponen de un plazo de cuatro semanas para
formular objeciones motivadas acerca del proyecto de decisión, entendiéndose que
existe acuerdo sobre dicho proyecto si ninguna autoridad presenta objeciones en el
plazo indicado, en cuyo caso todas ellas quedan vinculadas por el repetido proyecto.
En otro caso, es decir, si cualquiera de las autoridades interesadas formula una
objeción pertinente y motivada acerca del proyecto de decisión, la autoridad de control
principal podrá seguir lo indicado en la objeción, presentando a dictamen de las demás
autoridades de control interesadas un proyecto de decisión revisado, que se someterá
al procedimiento indicado en el apartado 4 en un plazo de dos semanas. De no seguir
lo indicado en la objeción o si se estima que la misma no es pertinente, la autoridad de
control principal debe someter el asunto al mecanismo de coherencia contemplado en
el artículo 63 del RGPD.
En el presente caso, la AEPD estimó inicialmente que no existían indicios de infracción
ni resultaba necesario instar la adopción de medidas adicionales a las implementadas
por PAGE GROUP EUROPE, por lo que, con fecha 10/11/2020, se dictó Proyecto de
Decisión, mediante el que se sometía a la consideración del resto de autoridades de
control interesadas el archivo de la reclamación (Draft decisión).
Al término del plazo establecido, formularon objeciones al citado Proyecto de Decisión
las autoridades de protección de datos de Portugal (CNPD) y Berlín (The Berlin
Commissioner for Data Protection and Freedom of Information -Berlin DPA), en el
sentido expresado en los Antecedentes del presente acuerdo.
Teniendo en cuenta los motivos expuestos en las objeciones formuladas, y de
conformidad con lo establecido en el apartado 1 del artículo 60 del RGPD, antes
transcrito, que obliga a la autoridad de control principal a cooperar con las demás
autoridades, esforzándose por llegar a un consenso, se siguió el procedimiento
previsto en el apartado 5 del citado artículo 60, en lugar de acudir al mecanismo de
coherencia contemplado en el artículo 63 del RGPD.
Aunque esta Agencia, como señala la entidad reclamada en sus alegaciones,
consideró inicialmente que no existían indicios de infracción, una vez analizadas las
observaciones u objeciones planteadas por las autoridades de control interesada se
pusieron de manifiesto algunas circunstancias que no habían sido suficientemente
valoradas en el proyecto de archivo de actuaciones (Draft decisión), que serán
expuestas en los Fundamentos de Derecho que siguen.
Por ello, procedía la elaboración de un Proyecto de Decisión Revisado que
contemplase la apertura de un procedimiento sancionador a PAGE GROUP EUROPE.
Esta actuación es acorde con el procedimiento de cooperación regulado en el artículo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/37
60 del RGPD; y tiene en cuenta lo establecido en el artículo 58.4 del mismo
Reglamento, según el cual el ejercicio de los poderes conferidos a la autoridad de
control debe respetar las garantías procesales establecidas en el Derecho de la Unión
y de los Estados miembros.
Las normas procesales españolas, en concreto, la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP),
establece que los procedimientos de naturaleza sancionadora se iniciarán siempre de
oficio por acuerdo del órgano competente, el cual debe contener, entre otras
indicaciones, la identificación de la persona o personas presuntamente responsables,
los hechos que motivan la incoación del procedimiento, su posible calificación y las
sanciones que pudieran corresponder
La adopción del proyecto de acuerdo de inicio de procedimiento sancionador está
prevista en el artículo 64 de la LOPDGDD, apartados 2 (párrafo tercero) y 3,
estableciéndose la obligación de dar conocimiento formal al interesado. Esta
notificación interrumpe la prescripción de la infracción.
El Proyecto de Decisión Revisado elaborado por la AEPD, en forma de proyecto de
apertura de procedimiento sancionador, fue sometido a la consideración de las
autoridades interesadas, a fin de que las mismas formulasen las objeciones que
estimasen pertinentes o prestasen su conformidad. Para ello, fue transmitido a través
del Sistema IMI a dichas autoridades, haciéndoles saber que, en caso de que no se
formulasen objeciones en el plazo de dos semanas desde la consulta, se adoptaría el
preceptivo acuerdo de apertura de procedimiento sancionador. Ninguna de las
autoridades de control interesadas formuló objeción alguna, por lo que se entendió
que existía acuerdo sobre el citado proyecto.
En consecuencia, con fecha 29/06/2021, la AEPD acordó iniciar el presente
procedimiento sancionador, de acuerdo con los argumentos y las imputaciones
contenidas en el Proyecto de Decisión Revisado.
Por otra parte, en el apartado 4 del citado artículo 64 de la LOPDGDD establece que
los plazos de tramitación establecidos en este artículo quedarán automáticamente
suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o
pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una
o varias autoridades de control de los Estados miembros conforme con lo establecido
en el RGPD, por el tiempo que medie entre la solicitud y la notificación del
pronunciamiento a la Agencia Española de Protección de Datos.
III
De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de
Protección de Datos es competente para desempeñar las funciones que se le asignan
en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la
sensibilización de los responsables y los encargados del tratamiento acerca de las
obligaciones que les incumben, así como tratar las reclamaciones presentadas por un
interesado e investigar el motivo de las mismas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/37
Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables
y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en
el desempeño de sus funciones. Para el caso de que éstos hayan designado un
delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de
cooperar con dicha autoridad.
Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha
previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se
formulen ante la Agencia Española de Protección de Datos, que consiste en dar
traslado de las mismas a los delegados de protección de datos designados por los
responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de
la citada norma, o a éstos cuando no los hubieren designado, para que procedan al
análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes.
De conformidad con esta normativa, con carácter previo a la admisión a trámite de la
reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la
entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia
en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida,
en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del
RGPD.
El resultado de dicho traslado no fue satisfactorio, considerando la tramitación seguida
por el proyecto de archivo de actuaciones (Draft decisión) y las objeciones formuladas
al respecto, de modo que se estimó procedente la continuación de actuaciones para la
depuración de las posibles responsabilidades puestas de manifiesto. En consecuencia,
con fecha 11/12/2020, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la
Agencia Española de Protección de Datos acordó admitir a trámite la reclamación
comunicada por la autoridad de protección de datos de Países Bajos (Autoreit
Persoonsgegevens -AP) por presuntas infracciones relacionadas con el ejercicio de los
derechos reconocidos a los titulares de datos personales. Dicho acuerdo de admisión
a trámite determinó la apertura del presente procedimiento sancionador.
Tratándose exclusivamente de una reclamación por falta de atención de una solicitud
de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, se sigue
el procedimiento regulado en el artículo 64.1 de la LOPDGDD, según el cual:
“1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de
ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679,
se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el
artículo siguiente.
En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la
fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite.
Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.”
En sentido contrario, cuando el procedimiento no se refiera exclusivamente a la
atención de una solicitud de ejercicio de los derechos, procede la depuración de
responsabilidades administrativas en el marco de un procedimiento sancionador,
siendo competencia exclusiva de esta Agencia valorar si existen responsabilidades
administrativas que deban ser depuradas en un procedimiento de esta naturaleza y, en
consecuencia, la decisión sobre su apertura.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/37
En este caso, existen elementos que justifican el ejercicio de la actividad
sancionadora, considerando que con el procedimiento previsto en el artículo 64.1 de la
LOPDGDD citado no quedarían debidamente restauradas las garantías y derechos de
los interesados.
El origen de las actuaciones viene determinado por una reclamación formulada por un
interesado concreto, la cual tiene por objeto la falta de atención del derecho de acceso
ejercitado por la reclamante ante la entidad reclamada. Con ello, podría pensarse que
estamos ante el procedimiento regulado en el artículo 64.1 de la LOPDGDD.
Sin embargo, esta reclamación de una persona individual ha puesto de manifiesto una
actuación general del responsable, resultando que este caso concreto es el reflejo de
una pauta o política común aplicada a todas aquellas personas afectadas que estén en
el mismo caso que la reclamante. Cuando una actuación que se considera incorrecta
deriva de una política general adoptada por el responsable del tratamiento, de manera
que no se trata de errores puntuales en un caso, la infracción no reside
exclusivamente en el caso examinado sino en esa actuación general adoptada por el
responsable.
Lo contrario sería inconsistente con la finalidad y la voluntad del legislador comunitario,
plasmada expresamente en el RGPD cuando señala que corresponde a las
autoridades de control hacer aplicar la norma.
En consecuencia, este procedimiento analiza la repercusión de la actuación general
seguida por PAGE GROUP EUROPE en la gestión y resolución de las solicitudes de
ejercicios de derechos de acceso y portabilidad que le formulasen los interesados,
(…).
A la vista de las deficiencias advertidas en el procedimiento diseñado por la entidad
reclamada respecto de la normativa de protección de datos, resulta que tales
deficiencias tienen un alcance general, de modo que se ven afectados todos los
interesados que hubiesen formulado las indicadas solicitudes, y no sólo la reclamante.
Así se concluye a la vista de las informaciones y declaraciones que la propia entidad
reclamada ha facilitado a esta Agencia, en las que reconoce que el proceso de
atención de derechos respondía al diseño realizado por la misma y expone las razones
que le llevaron a implementar un estricto proceso de verificación de identidad, que
fundamenta, entre otras razones que constan reseñadas en los Antecedentes, en la
naturaleza de los servicios de Recursos Humanos que presta, (…). Defiende su
sistema aduciendo que responde a un exceso de celo de la entidad.
(…).
La información facilitada por la entidad reclamada, además, resulta congruente con la
actuación desarrollada en relación con la concreta solicitud de acceso de la
reclamante
Por ello, no se entiende que PAGE GROUP EUROPE, en sus alegaciones a la
apertura del procedimiento, manifieste que cometió un error al explicar el mencionado
proceso de gestión de derechos y que modifique su planteamiento anterior para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/37
exponer unas circunstancias que no se ajustan a la realidad. Lo cierto, según lo
acreditado en las actuaciones, es que el esquema de verificación de identidad
diseñado por la reclamada se aplicaba a todos los casos de ejercicio de derechos de
acceso y portabilidad, con carácter general, y no solo a los casos en los que existieran
dudas sobre la identidad del solicitante, como ahora señala en sus alegaciones; (…).
Por otra parte, PAGE GROUP EUROPE manifiesta en su escrito de alegaciones que
ha seguido las recomendaciones de las autoridades, sin embargo, no cita cuáles son
esas recomendaciones que justificarían el procedimiento que sigue.
A lo largo del texto de su escrito de alegaciones únicamente se refiere a la “Guía para
el Ciudadano” elaborada por la AEPD y las instrucciones que contienen los formularios
para el ejercicio de derechos que esta Agencia pone a disposición de los ciudadanos a
través de su web. En ambos casos, como bien señala la entidad reclamada, se
informa a los ciudadanos sobre la posibilidad de que los responsables les soliciten
fotocopia del DNI o documento equivalente, pero se advierte que esto debe plantearse
cuando el responsable tenga dudas sobre la identidad del solicitante y también que
puede usarse la firma electrónica en vez del documento identificativo.
El contenido de aquellos documentos no contradice los criterios que se exponen en
este acto. Debe tenerse en cuenta que el objetivo específico que cubren estas guías
es orientar sobre las mejores prácticas en los casos más generales, de modo que no
cubren todos los supuestos específicos que pueden plantearse y ello supone que las
orientaciones que contienen deban ser completadas según proceda.
Finalmente, interesa destacar en este momento que las conclusiones que se exponen
seguidamente se obtienen por la aplicación de las normas establecidas por el RGPD y
la LOPDGDD, sin considerar normativas derogadas, como el Real Decreto 1720/2007,
ni aspectos culturales o cuestiones históricas heredadas de normativas locales, a las
que se refiere la entidad reclamada en su escrito de alegaciones.
IV
Los derechos de las personas en materia de protección de datos personales están
regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se
contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la
limitación del tratamiento y derecho a la portabilidad.
Los aspectos formales relativos al ejercicio de esos derechos se establecen en los
artículos 12 del RGPD y 12 de la LOPDGDD.
El artículo 12 “Transparencia de la información, comunicación y modalidades de
ejercicio de derechos” del RGPD establece lo siguiente:
“1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado
toda información indicada en los artículos 13 y 14, así como cualquier comunicación con
arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente,
inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información
dirigida específicamente a un niño. La información será facilitada por escrito o por otros
medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/37
información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado
por otros medios.
2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud
de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable
no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de
los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al
interesado.
3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones
sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el
plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros
dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El
responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a
partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado
presente la solicitud por medios electrónicos, la información se facilitará por medios
electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro
modo.”
4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin
dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de
su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control
y de ejercitar acciones judiciales.
5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y
cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito.
Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a
su carácter repetitivo, el responsable del tratamiento podrá: a) cobrar un canon razonable en
función de los costes administrativos afrontados para facilitar la información o la comunicación
o realizar la actuación solicitada, o b) negarse a actuar respecto de la solicitud. El responsable
del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o
excesivo de la solicitud.
6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga
dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que
se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional
necesaria para confirmar la identidad del interesado.
7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14
podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de
forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del
tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles
mecánicamente.
8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92
a fin de especificar la información que se ha de presentar a través de iconos y los
procedimientos para proporcionar iconos normalizados”.
Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos”
de la LOPDGDD, en sus apartados 2 y 4, añade lo siguiente:
“2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su
disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente
accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo
de optar el afectado por otro medio”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/37
“4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus
derechos formulado por el afectado recaerá sobre el responsable”.
Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del
RGPD.
De conformidad con lo dispuesto en estas normas, el responsable del tratamiento
debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus
derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3
del RGPD); viene obligado a responder las solicitudes formuladas a más tardar en un
mes, salvo que pueda demostrar que no está en condiciones de identificar al
interesado; así como a expresar sus motivos en caso de que no atendiera la solicitud.
De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el
interesado debe ser respondida en todo caso, recayendo sobre el responsable la
prueba del cumplimiento de este deber.
Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento
pueda demostrar que no está en condiciones de identificar al interesado (en los casos
a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este
artículo, en los que el responsable del tratamiento tenga dudas razonables en relación
con la identidad del solicitante, podrá requerir información adicional necesaria para
confirmar esa identidad.
A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes:
“(64) El responsable del tratamiento debe utilizar todas las medidas razonables para verificar la
identidad de los interesados que soliciten acceso, en particular en el contexto de los servicios
en línea y los identificadores en línea. El responsable no debe conservar datos personales con
el único propósito de poder responder a posibles solicitudes”.
En lo que se refiere al derecho de acceso, el RGPD estipula en su artículo 15 lo
siguiente:
“1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si
se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a
los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán
comunicados los datos personales, en particular destinatarios en terceros u organizaciones
internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser
posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos
personales o la limitación del tratamiento de datos personales relativos al interesado, o a
oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier información
disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/37
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa
sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho
tratamiento para el interesado.”
2.Cuando se transfieran datos personales a un tercer país o a una organización internacional,
el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo
46 relativas a la transferencia.
3.El responsable del tratamiento facilitará una copia de los datos personales objeto de
tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado
un canon razonable basado en los costes administrativos. Cuando el interesado presente la
solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la
información se facilitará en un formato electrónico de uso común.
4.El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los
derechos y libertades de otros”.
Al igual que el resto de los derechos del interesado, el derecho de acceso es un
derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento
que se está haciendo de sus datos personales, la posibilidad de obtener una copia de
los datos personales que le conciernan y que estén siendo objeto de tratamiento, así
como la información enumerada en el artículo antes citado.
En el presente caso, la reclamante, ciudadana holandesa, abrió una cuenta en la
versión holandesa del portal web de la entidad Michael Page International, accesible
en la URL “***URL.1”, y remitió por ese canal, en marzo 2018, un Curriculum Vitae
(CV) para la consecución de un puesto de trabajo ofrecido por la filial holandesa del
grupo PageGroup.
Posteriormente, en fecha 28/09/2018, ejercitó el derecho de acceso a sus datos
personales mediante correo electrónico remitido a la dirección “***EMAIL.1”, que
coincide con la indicada a tales efectos en la Política de Privacidad del portal web,
señalando expresamente en esta solicitud su interés en conocer los datos tratados, los
fines para los que son tratados, los destinatarios y los datos compartidos, así como la
base jurídica de cada operación de tratamiento (esta petición se ajusta al contenido del
derecho de acceso que establece el citado artículo 15 del RGPD, que, según ha
quedado expuesto, no solo implica informar al solicitante sobre los datos personales o
categorías de datos que son tratados, por lo que no se entienda el carácter
excepcional que le atribuye la entidad reclamada cuando alega que estas solicitudes
de acceso no son frecuentes dado que son los propios interesados los que facilitan
directamente sus datos personales y tienen la información a su disposición en su área
personal).
La solicitud formulada por la reclamante se envía desde la misma dirección de correo
electrónico de la reclamante que consta registrada en la base de datos de PageGroup,
la cual, según ha manifestado la interesada, venía siendo utilizada por la filial
holandesa del Grupo para remitirle ofertas de trabajo y comunicaciones comerciales.
(…).
También en dos ocasiones, mediante correos electrónicos, de fechas 20/10 y
11/11//2018, la reclamante advirtió que la identificación requerida constituye un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/37
tratamiento de datos excesivo o un impedimento del ejercicio de su derecho y señaló
expresamente que el proceso de identificación se simplifica considerando que dispone
de cuenta en el sitio web de la entidad.
No sería hasta el 12/11/2018, una vez la reclamante comunicó su intención de
formular reclamación ante la autoridad de protección de datos de Países Bajos,
cuando PAGE GROUP EUROPE modificó sus exigencias iniciales, (…).
Sobre la cuestión relativa a verificación de la identidad de los solicitantes de derechos,
las normas antes expuestas son claras al señalar que este proceso de verificación
debe limitarse a los supuestos concretos en los que el responsable tenga dudas
“razonables” en relación con la identidad de la persona física que cursa la solicitud.
El artículo 12.6 del RGPD se refiere a todas las solicitudes de derechos y admite la
posibilidad de requerir, en aquellos supuestos, “información adicional” necesaria para
confirmar la identidad del interesado. Particularmente, en relación con las solicitudes
de acceso en el contexto de los servicios en línea, el Considerando 64 del mismo
Reglamento se refiere a la posibilidad de que el responsable utilice todas las “medidas
razonables” para verificar la identidad de los interesados.
Las normas que regulan el ejercicio de derechos no establecen, por tanto, la
necesidad de aportar ningún documento identificativo concreto para que puedan ser
atendidas, ni siquiera exigen que esa verificación de la identidad se realice mediante
documentación. Se refieren a la posibilidad de recabar “información adicional” y a la
utilización de “medidas razonables”, correspondiendo al responsable determinar qué
información y qué medidas resultan razonables en cada caso, atendidas las
circunstancias concurrentes y acudiendo siempre a los medios menos invasivos para
la intimidad de las personas solicitantes. Todo ello, bajo la condición previa de que se
trate de un supuesto en el que existan “dudas razonables” sobre la identidad del
solicitante.
PAGE GROUP EUROPE no ha justificado que existieran esas dudas razonables en
relación con la identidad de la reclamante. Al contrario, la actuación de esta entidad
responde al procedimiento de gestión de derechos diseñado por ella misma, en su
condición de responsable, (…), sin analizar previamente si se planteaban o no esas
dudas razonables.
(…).
Se da la circunstancia, en este caso, que la reclamante figuraba registrada en los
sistemas de información de la entidad responsable, que disponía de una amplia
información sobre la misma; y que la solicitud de acceso a los datos personales se
formuló desde la misma dirección de correo electrónico de la reclamante que ya
constaba en la base de datos de dicha entidad.
No se entiende, por ello, que este caso se haya tratado como uno de esos supuestos
en los que existe dudas sobre la identidad del solicitante (…), cuando disponía de
medios menos intrusivos para asegurar que la información sería remitida a la titular de
los datos en cuestión, como haber contrastado alguno de los datos ya disponibles.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/37
PAGE GROUP EUROPE conocía los datos de contacto de la reclamante, de modo
que la solicitud recibida desde la dirección de correo electrónico que dicha entidad
tenía registrada en sus sistemas y el envío a esta dirección de la información solicitada
con el acceso ofrecía suficientes garantías, a juicio de esta Agencia, como para haber
atendido la solicitud recibida. Más aún, considerando que no se ha acreditado ninguna
circunstancia que llevara a la entidad reclamada a pensar en una suplantación de
identidad o en un ataque informático.
Las rigurosas exigencias impuestas a la reclamante para dar curso a su solicitud de
acceso motivaron que esta solicitud quedara sin respuesta, a pesar de las dos
advertencias realizadas por la propia reclamante sobre las peticiones excesivas de
documentación que le fueron remitidas; las cuales determinaron que la reclamante
optara por acudir a la autoridad de protección de datos de Países Bajos en lugar de
continuar con la tramitación de su solicitud, como bien había advertido en su correo
electrónico de 11/11/2018.
En consecuencia, PAGE GROUP EUROPE es responsable de que el plazo
establecido para atender la solicitud de la reclamante transcurriera sin que se hubiese
dado la respuesta debida, facilitando a la misma la información solicitada.
El derecho de acceso fue finalmente atendido en fecha 27/08/2020, durante la
tramitación de la reclamación llevada a cabo por esta Agencia como autoridad de
control principal, previo requerimiento expreso de esta Agencia de fecha 14/08/2020. A
este respecto, cabe precisar que la respuesta que corresponde realizar a la solicitud
de acceso no puede manifestarse con ocasión de un mero trámite administrativo,
como es el traslado de la reclamación a la parte reclamada en cumplimiento de lo
establecido en el artículo 64.3 de la LOPDGDD.
En consecuencia, de conformidad con las evidencias expuestas, los citados hechos
suponen una vulneración de lo dispuesto en el artículo 12, apartados 2 y 3, del RGPD,
por la no atención del derecho de acceso ejercitado por la reclamante, que da lugar a
la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento
otorga a la Agencia Española de Protección de datos.
V
(…).
Según ha quedado expuesto en el Fundamento de Derecho anterior, esta actuación de
la entidad reclamada responde al procedimiento de gestión de derechos diseñado por
ella misma, como responsable del tratamiento, (…).
La reclamante estimó que no había motivo para requerirle esa información
identificativa como necesaria para la atención del derecho, considerando que no le fue
exigida para abrir una cuenta en el portal web ni para remitir su CV. Entiende la
reclamante que el acceso autenticado en la cuenta, que aún estaba activa en el
momento en que se dirige la solicitud a la entidad responsable, debería ser suficiente
para entender ejercitado el derecho y acreditada su identidad en un sistema como el
usado por el responsable, basado en la utilización de una cuenta privada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/37
Respecto de esta cuestión, sirven los argumentos expresados por las autoridades de
control CNPD y Berlin DPA, que constan reseñados en el Antecedente Cuarto, (…);
que este procedimiento no protege los datos de los solicitantes y aumenta los riesgos
para los afectados; que aquella documentación no se exige a los interesados para
abrir una cuenta o enviar un CV; que solo se debería solicitar información adicional si
existieran dudas sobre la identidad del interesado, solicitando información necesaria y
apropiada para esa verificación, en función de los datos disponibles del solicitante.
Ambas autoridades de control abogan por una forma menos intrusiva de comprobar la
identidad del solicitante, (…), (p.ej. identificación electrónica o enviar la solicitud a
través de la cuenta de usuario junto con un factor de autenticación adicional remitido
por otro canal diferente); y coinciden con la reclamante en que el acceso a la cuenta
privada debería entenderse suficiente.
Y sirven también, por coincidentes, los argumentos expresados en el fundamento de
derecho precedente, sobre la posibilidad de solicitar información adicional necesaria
para confirmar la identidad del interesado únicamente cuando el responsable tenga
dudas razonables en relación con la identidad del solicitante del derecho (artículo 12.6
del RGPD).
(…).
La valoración de estos hechos requiere tener en cuenta, asimismo, lo establecido en
los artículos 25 y 32 del RGPD, en los que se establece lo siguiente:
“Artículo 25. Protección de datos desde el diseño y por defecto.
1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito,
contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que
entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable
del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en
el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la
seudonimización, concebidas para aplicar de forma efectiva los principios de protección de
datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a
fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los
interesados.
2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con
miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que
sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se
aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su
plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por
defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un
número indeterminado de personas físicas.
3.Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como
elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2
del presente artículo”.
“Artículo 32. Seguridad del tratamiento.
1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el
alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/37
variables para los derechos y libertades de las personas físicas, el responsable y el encargado
del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel
de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma
rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas
técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los
riesgos que presente el tratamiento de datos, en particular como consecuencia de la
destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos,
conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos
datos.
(…)”.
En este caso, el sistema diseñado por PAGE GROUP EUROPE establece unas
exigencias para la atención de los derechos de los interesados que van más allá de lo
previsto en la normativa que regula estos derechos; y que no responden a ninguno de
los criterios y factores referidos en el citado artículo 25.1 del RGPD, como son el
contexto, los riesgos o la finalidad del tratamiento.
(…).
(…).
(…).
(…).
Como resultado de todo ello, (…), da lugar, en las circunstancias señaladas, al
tratamiento de datos personales inadecuados, no pertinentes y no necesarios para
este fin específico del tratamiento, contrario a los principios de protección de datos,
especialmente, al principio de “minimización de datos”, regulado en el artículo 5.1.c)
del RGPD:
“Artículo 5 Principios relativos al tratamiento
1.Los datos personales serán:
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son
tratados («minimización de datos»)”.
Sobre el alcance de este principio, el Considerando 39 del RGPD indica que “los datos
personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse
razonablemente por otros medios”.
No hace falta insistir en el hecho de que en los casos analizados no es necesaria la
recogida de documentación identificativa de las personas solicitantes de un derecho, al
existir otros medios de identificación fiables menos intrusivos; y menos necesaria aún
es la recogida de varios documentos de identidad.
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/37
También considera la reclamada que (…), hacen su actuación compatible con el
respeto al principio de minimización, por necesaria, proporcional e idónea para
proteger los derechos de la interesada, cumpliendo así con lo indicado en el
Considerando 156 del RGPD, según el cual “Las condiciones y garantías en cuestión
pueden conllevar procedimientos específicos para que los interesados ejerzan dichos
derechos si resulta adecuado a la luz de los fines perseguidos por el tratamiento
específico, junto con las medidas técnicas y organizativas destinadas a minimizar el
tratamiento de datos personales atendiendo a los principios de proporcionalidad y
necesidad”. Sin embargo, este Considerando está referido a los tratamientos con fines
de archivo en interés público y no cabe traerlo a colación en el caso que nos ocupa.
En consecuencia, los hechos citados, en relación con el tratamiento de datos que
conlleva el procedimiento de gestión de derechos seguido por PAGE GROUP
EUROPE para la verificación de la identidad de los interesados, suponen una
vulneración de lo dispuesto en el artículo 5.1.c) del RGPD, que da lugar a la aplicación
de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la
Agencia Española de Protección de datos.
VI
Para el caso de que concurra una infracción de los preceptos del RGPD, entre los
poderes correctivos de los que dispone la Agencia Española de Protección de Datos,
como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a
continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
(...)
d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada
manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”.
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)
anterior es compatible con la sanción consistente en multa administrativa.
VII
Los hechos expuestos incumplen lo establecido en los artículos 12 y 5.1.c) del RGPD,
con el alcance expresado en los Fundamentos de Derecho anteriores, lo que supone
la comisión de sendas infracciones tipificadas, respectivamente, en los apartados 5.b)
y 5.a), del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas” dispone lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/37
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a
tenor de los artículos 5, 6, 7 y 9.
b) los derechos de los interesados a tenor de los artículos 12 a 22”.
A este respecto, la LOPDGDD, en su artículo 74, considera como infracción “leve” a
efectos de prescripción las infracciones de carácter meramente formal de los artículos
mencionados en el artículo 83.5 del RGPD y, en concreto, “c) No atender las
solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el
artículo 72.1.k) de esta Ley Orgánica”.
Por su parte, el apartado 1.a) del artículo 72 de la LOPDGDD considera, como “muy
grave”, a efectos de prescripción:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el
artículo 5 del Reglamento (UE) 2016/679”.
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas con
arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía
en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los
daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta
de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el
responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/37
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación
aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los
beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de
la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,
que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan
controversias entre aquellos y cualquier interesado”.
En este caso, considerando la gravedad de las infracciones constatadas, procede la
imposición de multa y, en su caso, la adopción de medidas. No cabe aceptar la
solicitud formulada por PAGE GROUP EUROPE para que se impongan otros poderes
correctivos, como es el apercibimiento, que está previsto para personas físicas y
cuando la sanción constituya una carga desproporcionada (considerando 148 del
RGPD). A este respecto, no comparte esta Agencia que las infracciones declaradas
sean de escasa gravedad, considerando los efectos que han determinado en el
ejercicio de los derechos reconocidos a los interesados; ni la corta duración de las
mismas alegada por la reclamada, dado que el proceso irregular de gestión de
aquellos derechos se ha venido imponiendo desde el momento en que resultó
aplicable el RGPD.
De acuerdo con los preceptos indicados, a efectos de fijar el importe de las sanciones
a imponer en el presente caso, se considera que procede graduar las multas de
acuerdo con los siguientes criterios:
1. Infracción del artículo 12 del RGPD, tipificada en el artículo 83.5.b) y calificada como
leve a efectos de prescripción en el artículo 74.c) de la LOPDGDD:
Se estiman concurrentes como agravantes los criterios de graduación siguientes:
. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/37
de tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido”.
. La naturaleza de la infracción, por cuanto la no atención del derecho de
acceso, por su contenido, incide en la capacidad de la reclamante de ejercer
un verdadero control sobre sus datos personales.
. La naturaleza de los perjuicios causados a la persona interesada, que vio
desatendido uno de sus derechos básicos en materia de protección de datos
personales, a pesar de las comunicaciones remitidas por la misma insistiendo
en su interés.
. Artículo 83.2.d) del RGPD: “d) el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32”.
La entidad imputada no tiene implantados procedimientos adecuados de
actuación en la recogida y tratamiento de los datos de carácter personal, en lo que
se refiere a la gestión de solicitudes de ejercicio de derechos, de modo que la
infracción no es consecuencia de una anomalía en el funcionamiento de dichos
procedimientos sino un defecto del sistema de gestión de los datos personales
diseñado por la responsable. Dicho procedimiento se adoptó por la reclamada a
iniciativa propia estableciendo unas exigencias que excedían las previsiones
normativas aplicables.
. Artículo 76.2.b) de la LOPDGDD: “b) La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales”.
La alta vinculación de la actividad del infractor con la realización de tratamientos
de datos personales, considerando la actividad que desarrolla en el sector de
Recursos Humanos y el nivel de implantación de la entidad (en el Antecedente
Sexto se recogen algunos detalles sobre esta implantación).
. Artículo 83.2.k) del RGPD: “k) cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos
o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.
La condición de gran empresa y volumen de negocio de PageGroup y PAGE
GROUP EUROPE (en el Antecedente Sexto se recogen algunos detalles al
respecto).
Se considera, asimismo, que concurren como atenuantes las circunstancias
siguientes:
. Artículo 83.2.f) del RGPD: “f) el grado de cooperación con la autoridad de control
con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos
de la infracción”.
El derecho de acceso ejercitado por el reclamante fue finalmente atendido por la
entidad reclamada, si bien fue precisa la intervención de las autoridades de
control.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/37
PAGE GROUP EUROPE, en su escrito de alegaciones, no ha efectuado manifestación
alguna respecto de los criterios y factores valorados para graduar esta infracción.
Considerando los factores expuestos, la valoración que alcanza la multa, por la
Infracción del artículo 12 del RGPD, es de 50.000 euros (cincuenta mil euros).
2. Infracción por incumplimiento de lo establecido en el artículo 5.1.c) del RGPD,
tipificada en el artículo 83.5.a) y calificada como muy grave a efectos de prescripción
en el artículo 72.1.a) de la LOPDGDD:
Se estiman concurrentes como agravantes los criterios de graduación siguientes:
. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación
de tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido”.
. La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de las operaciones de tratamiento de que se
trata. La infracción afecta a aspectos fundamentales de la protección de datos
(…), según el procedimiento de gestión de derechos que implantó la
reclamada en el momento en que resultó aplicable el RGPD, el cual no ha
quedado rectificado hasta la apertura del procedimiento.
. El número de interesados: la infracción afecta a todos los interesados que
hayan ejercitado el derecho de acceso o portabilidad, si bien es preciso
considerar la transcendencia que ha podido tener la conducta infractora en
todos los clientes de la entidad, muy numerosos considerando el nivel de
implantación internacional de la misma.
. La naturaleza de los perjuicios causados a las personas interesadas, que
han visto limitados sus derechos e incrementado el riesgo en su privacidad.
. Artículo 83.2.b) del RGPD: “b) la intencionalidad o negligencia en la infracción".
La negligencia apreciada en la comisión de la infracción.
A este respecto, no cabe admitir la alegación formulada por PAGE GROUP
EUROPE, según la cual la negligencia debe apreciarse cuando la conducta se
aleje de los estándares reconocidos. Si una actuación se separa de lo establecido
por la norma no puede decirse que responda a los estándares.
Además, en relación con la solicitud de acceso de la reclamante, la citada entidad,
(…), no atendió el derecho hasta la intervención de las autoridades de control.
. Artículo 83.2.d) del RGPD: “d) el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32”.
La entidad imputada no tiene implantados procedimientos adecuados de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/37
actuación en la recogida y tratamiento de los datos de carácter personal, de modo
que la infracción no es consecuencia de una anomalía en el funcionamiento de
dichos procedimientos sino un defecto del sistema de gestión de los datos
personales diseñado por la responsable.
. Artículo 76.2.a) de la LOPDGDD: “a) El carácter continuado de la infracción”.
(…). Se trata de una pluralidad de acciones que siguen la actuación diseñada por
PAGE GROUP EUROPE, las cuales infringen el mismo precepto.
. Artículo 76.2.b) de la LOPDGDD: “b) La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales”.
La alta vinculación de la actividad del infractor con la realización de tratamientos
de datos personales, atendiendo a los motivos ya expresados al exponer los
factores de graduación de la infracción anterior.
. Artículo 83.2.k) del RGPD: “k) cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos
o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.
. El volumen de datos y tratamientos que constituye el objeto del expediente,
atendiendo al nivel de información que tiene la reclamada de las personas
que accede a sus servicios.
. La condición de gran empresa y volumen de negocio de PageGroup y PAGE
GROUP EUROPE.
Se considera, asimismo, que concurren como atenuantes las circunstancias
siguientes:
. Artículo 83.2.c) del RGPD: “Cualquier medida tomada por el responsable o
encargado del tratamiento para paliar los daños y perjuicios sufridos por los
interesados”.
. Artículo 83.2.f) del RGPD: “El grado de cooperación con la autoridad de control
con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos
de la infracción”.
PAGE GROUP EUROPE ha diseñado un nuevo procedimiento de gestión de
derechos que subsana los reparos que han dado lugar a la comisión de las
infracciones. Sin embargo, se tiene en cuenta que esta subsanación no se ha
producido hasta después de acordada la apertura del procedimiento.
Considerando los factores expuestos, la valoración que alcanza la multa, por la
Infracción del artículo 5.1.c) del RGPD, es de 250.000 euros (doscientos cincuenta mil
euros).
Ninguno de los factores de graduación considerados queda atenuado por el hecho de
que la entidad reclamada no haya sido objeto de un procedimiento sancionador con
anterioridad, circunstancia esta que ha sido alegada por la entidad reclamada para que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/37
sea considerada como una atenuante.
A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica que
“Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una
infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse
en cuenta para la imposición de la multa administrativa, entre otras, la
circunstancia "e) toda infracción anterior cometida por el responsable o el encargado
del tratamiento". Se trata de una circunstancia agravante, el hecho de que no
concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en
consideración, pero no implica ni permite, como pretende la actora, su aplicación
como atenuante”.
PAGE GROUP EUROPE se refiere, asimismo, en sus alegaciones a dos actuaciones
seguidas por la autoridad de protección de datos de Países Bajos por tratamiento
ilegal de documentos de identidad en los que no se sancionó a las empresas
implicadas, si bien, según manifiesta la propia entidad reclamada, se trata de
actuaciones previas a la entrada en vigor del RGPD. Además, no se aportan los
detalles que determinaron dichos acuerdos.
VIII
Las infracciones cometidas pueden conllevar la imposición al responsable de la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD,
según el cual cada autoridad de control podrá “ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La no atención de los requerimientos de este organismo puede
ser considerado como una infracción administrativa grave al “no cooperar con la
Autoridad de control” ante tales requerimientos, pudiendo ser valorada tal conducta a
la hora de la apertura de un procedimiento administrativo sancionador con multa
pecuniaria.
En tal caso, en la resolución que se adopte, esta Agencia podrá requerir a la entidad
responsable para que, en el plazo que se determine, adecúe a la normativa de
protección de datos personales las operaciones de tratamiento que realiza y los
mecanismos y procedimientos que sigue para atender las solicitudes de ejercicio de
derechos que le formulan los interesados, con el alcance expresado en los
Fundamentos de Derecho del presente acuerdo.
Asimismo, las medidas que pudieran adoptarse en la resolución que ponga fin al
procedimiento, en relación con las actividades de tratamiento y el ejercicio de
derechos, serán de aplicación en todos los países de la Unión Europea en los que
opera PageGroup.
(…).
(…).
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/37
(…).
No obstante, la citada entidad ha aportado con su escrito de alegaciones a la apertura
del procedimiento el documento denominado “Proceso de solicitud de datos del RGPD
de la UE”, mediante el que establece la gestión que sigue actualmente en relación con
las solicitudes de ejercicio de derechos. (…).
(…).
(…).
Se considera que estas nuevas medidas implementadas por PAGE GROUP EUROPE
se ajustan a los criterios valorados en las presentes actuaciones, en relación con los
procedimientos de gestión de solicitudes de ejercicio de derechos y los medios para
validar la identidad de los solicitantes, no resultando procedente la imposición de
medidas adicionales.
IX
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), bajo la rúbrica “Terminación en
los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá
resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción
pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la
segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la
resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la
situación alterada o a la determinación de la indemnización por los daños y perjuicios causados
por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano
competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el
importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones,
deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad
estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente”.
La entidad PAGE GROUP EUROPE, durante el plazo que le fue concedido para
formular alegaciones a la propuesta de resolución, ha procedido al pago voluntario de
la sanción con la reducción prevista legalmente, lo que determina la finalización del
procedimiento y conlleva la renuncia a cualquier acción o recurso en vía administrativa
contra la sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/37
Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia
Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00003/2021, seguido
contra la entidad PAGE GROUP EUROPE, S.L. por las infracciones de los artículos 12
y 5.1.c) del RGPD, tipificadas en los artículos 83.5.b) y 83.5.a) del mismo Reglamento,
respectivamente; de conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a la entidad PAGE GROUP EUROPE,
S.L.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
los artículos 48.6 de la LOPDGDD y 114.1.c) de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, los interesados
podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-
administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y
en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio,
reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a
contar desde el día siguiente a la notificación de este acto, según lo previsto en el
artículo 46.1 de la referida Ley.
938-231221
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es