1/6
Procedimiento Nº: PS/00334/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Dña. A.A.A. con NIF ***NIF.1 (en adelante, la reclamante) con fecha 13 de
enero de 2020 interpuso reclamación ante la Agencia Española de Protección de
Datos. La reclamación se dirige contra Dña. B.B.B. con NIF ***NIF.2 (en adelante, la
reclamada).
La reclamante manifiesta que una extrabajadora ha utilizado los datos de sus
clientes para beneficio propio, tras la extinción de su relación contractual.
Y, aporta la siguiente documentación:
- Contrato de acceso a datos entre las partes.
- Notificación de la reclamada de que deja de prestar sus servicios.
- Anulación de citas de sus clientes.
- Burofax advirtiendo a la reclamada que no puede utilizar para beneficio
propio el listado de clientes proporcionado por la reclamante.
- Queja de una clienta, manifestando su malestar por estar en el grupo de
WhatsApp creado por la reclamada para publicar sus productos.
SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un
mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante
la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos
designados por los responsables o encargados del tratamiento, a los efectos previstos
en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio
traslado de la reclamación a la entidad reclamada para que procediese a su análisis y
diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes.
TERCERO: Con fecha de 13 de marzo de 2020 se solicitó a la reclamada que aportara
a esta Agencia la siguiente información:
1. La decisión adoptada a propósito de esta reclamación.
2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a
22 del RGPD, acreditación de la respuesta facilitada al reclamante.
3. Informe sobre las causas que han motivado la incidencia que ha originado
la reclamación.
4. Informe sobre las medidas adoptadas para evitar que se produzcan
incidencias similares, fechas de implantación y controles efectuados para
comprobar su eficacia.
5. Cualquier otra que considere relevante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/6
El escrito se notificó a la reclamada por vía postal siendo la fecha de entrega
de la notificación el 15 de junio de 2020, tal como acredita el certificado expedido por
el servicio de correos, para que diera respuesta a esta Agencia y a la parte reclamante
en el plazo de un mes.
En la respuesta presentada por la reclamada el 13 de julio de 2020, no figura el
contenido que en ella se menciona.
Con fecha 13 de agosto 2020, se reitera la solicitud de información y el 1 de
septiembre de este año, la reclamada manifiesta que el 13 de julio de 2020 aportó
alegaciones y documentos probatorios, no constando en esta Agencia.
De conformidad con lo dispuesto en el artículo 65.2 de la LOPDGDD, con fecha
24 de septiembre de 2020, la Directora de la Agencia Española de Protección de
Datos acuerda admitir a trámite de la presente reclamación.
CUARTO: Con fecha 21 de octubre de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionadora la reclamada, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo
83.5 del RGPD.
QUINTO: Notificado el citado acuerdo de inicio, la reclamada presentó escrito de
alegaciones en el que, en síntesis, manifestaba que: “cumplo con el deber impuesto
por el art. 6.1 del RGPD, recabando el consentimiento de los clientes cuando les
solicito los datos personales, mediante el texto legal que se adjunta como prueba y
todos firman en el momento”.
SEXTO: Con fecha 14 de diciembre de 2020, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas las
actuaciones previas, así como los documentos aportados por la reclamada.
SÉPTIMO: Con fecha 16 de febrero de 2021 se formuló propuesta de resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos se
sancione a la reclamada, por una infracción del artículo 6.1 del RGPD, tipificada en el
artículo 83.5 del RGPD, una sanción de apercibimiento.
OCTAVO: Notificada la propuesta de resolución, la parte reclamada presentó escrito
de alegaciones 23 de marzo de 2021, manifestando: “Que acato en su totalidad dicha
propuesta y acepto la sanción de apercibimiento. Que he adoptado los procedimientos
de recogida de consentimiento previstos en la ley conforme dispone el art. 6.1 RGPD.
Que no existen en mis ficheros datos de los clientes de la reclamante que no hayan
sido recogidos conforme a la base legitimadora para ello, de acuerdo con lo regulado
en el art. 6.1 a) del RGPD”.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/6
HECHOS PROBADOS
PRIMERO: Con fecha 13 de enero de 2020, la reclamante interpone reclamación ante
la Agencia Española de Protección de Datos, manifestando que una extrabajadora ha
utilizado los datos de sus clientes, sin que tuviera legitimación para ello.
SEGUNDO: Consta Burofax advirtiendo a la reclamada que no puede utilizar para
beneficio propio el listado de clientes proporcionado por la reclamante, y queja de una
clienta, manifestando “yo en ningún momento he dado permiso para ceder mis datos,
es más pensaba que estaba protegida por la plataforma de protección de datos”.
TERCERO: La reclamada, ha aportado en el presente procedimiento sancionador las
medias que ha adoptado.
CUARTO: Con fecha 23 de marzo de 2021 la parte reclamada en su escrito de
alegaciones a la propuesta de resolución reconoce los hechos y está de acuerdo con
la sanción impuesta, y manifiesta: “Que acato en su totalidad dicha propuesta y acepto
la sanción de apercibimiento. Que he adoptado los procedimientos de recogida de
consentimiento previstos en la ley conforme dispone el art. 6.1 RGPD.
Que no existen en mis ficheros datos de los clientes de la reclamante que no hayan
sido recogidos conforme a la base legitimadora para ello, de acuerdo con lo regulado
en el art. 6.1 a) del RGPD”.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
Se imputa a la reclamada la comisión de una infracción por vulneración del
Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
(…)”
III
Los apartados b), d) e i) del artículo 58.2 del RGPD disponen lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/6
“2 Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con
apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en
el presente Reglamento;”
(...)
“d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;”
“i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las circunstancias
de cada caso particular;”
La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones
consideradas muy graves” dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquél y, en
particular, las siguientes:
(…)
a) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE)2016/679.”
IV
La documentación que obra en el expediente ofrece evidencias de que la
reclamada, vulneró el artículo 6.1 del RGPD, toda vez que está tratando datos de los
clientes de la entidad en la que trabajaba, sin que tuviera legitimación para ello.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/6
En este sentido, se aporta por parte de la reclamante la queja formulada por una
clienta afectada por el tratamiento de sus datos personales sin base legitimadora, en el
mensaje se constata “yo en ningún momento he dado permiso para ceder mis datos,
es más pensaba que estaba protegida por la plataforma de protección de datos”.
Por tanto, la reclamada no acredita la legitimación para el tratamiento de los
datos de los clientes de la reclamante.
V
Notificada formalmente la propuesta de resolución, la reclamada presentó
escrito de alegaciones el 23 de marzo de 2021, manifestado: “Que acato en su
totalidad dicha propuesta y acepto la sanción de apercibimiento. Que he adoptado los
procedimientos de recogida de consentimiento previstos en la ley conforme dispone el
art. 6.1 RGPD.
Que no existen en mis ficheros datos de los clientes de la reclamante que no hayan
sido recogidos conforme a la base legitimadora para ello, de acuerdo con lo regulado
en el art. 6.1 a) del RGPD”.
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP),
bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo
siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su
responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción
que proceda”.
Por lo tanto, a tenor de lo anteriormente expuesto, la Directora de la Agencia
Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a Dña. B.B.B., con NIF ***NIF.2, por una infracción del Artículo
6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento.
SEGUNDO: NOTIFICAR la presente resolución a Dña. B.B.B..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/6
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es