1/7
Procedimiento Nº: PS/00367/2019
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 10 de mayo de 2019 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige
contra VOX ESPAÑA con NIF G86867108 (en adelante, el reclamado).
Los motivos en que basa la reclamación son que se ha remitido un correo sin copia oculta
a los afiliados de dicho partido político.
SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las
reclamaciones que se formulen ante la Agencia Española de Protección de Datos, previsto
en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales, que consiste en dar traslado de las
mismas a los Delegados de Protección de Datos designados por los responsables o
encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad
señalada en el referido artículo, el 24 de mayo de 2019, se da traslado de la presente
reclamación a la entidad reclamada, solicitándole que en el plazo de un mes aporte a esta
Agencia información sobre las causas que han motivado la incidencia que ha originado la
reclamación y las medidas adoptadas para evitar que se produzcan incidencias similares.
El reclamado contestó la solicitud de información el 10 de octubre de 2019, manifestando
lo siguiente:
“El motivo del envío de cierta información interna de VOX ESPAÑA a un escaso número
de afiliados en la localidad de Segovia, mediante comunicación vía correo electrónico sin
copia oculta de sus direcciones, se debió a un error por parte del personal de la formación
política encargado de dicha labor.
Lógicamente, no era intención de VOX ESPAÑA dirigir el contenido del comunicado con
copia abierta a las direcciones de correo citadas, a lo que debemos sumar el hecho de que
su contenido estaba carente de cualquier otro tipo de información o circunstancia personal
incluida que pudiese afectar a cualquiera de los receptores
Por parte de VOX ESPAÑA y en el momento en que se tuvo conocimiento del error, se
procedió a revisar el protocolo y sistemas tecnológicos de envío de comunicaciones
electrónicas, comprobando que era el correcto y apropiado para estos fines -envíos no
comerciales dirigidos a militantes/afiliados- , si bien el personal encargado no revisó antes
de su envío la colocación correcta de las direcciones en la casilla correspondiente; por lo
que se procedió a informar a la persona responsable y a reiterar la formación ya recibida,
sobre ciertos aspectos concernientes al tratamiento de datos de carácter personal y
expresamente incidiendo en la protección de aquellos que merecen un mayor rigor por su
carácter sensible, como los concernientes a ideología.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/7
TERCERO: Con fecha 28 de noviembre de 2019, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del Artículo 5.1.f) del RGPD, tipificada en el Artículo 83.5 del
RGPD.
CUARTO: Notificado el acuerdo de inicio del presente procedimiento sancionador, el
reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que el
Delegado de protección de datos de la reclamada, mediante correo electrónico de 8 de
octubre de 2019, comunicó al reclamante que los hechos denunciados habían sido
debidos a un error, reiterándose que “una vez se detectó el error, se procedió a
adoptar las medidas de seguridad ajustadas al efecto, de revisión del protocolo de
envío de comunicaciones, así como de la formación y concienciación del personal
encargado de tales labores para evitar que en el futuro se pudiera repetir acciones
similares; debemos indicarle que se trata de casos aislados hasta la fecha, por lo que
el que nos compete ahora se trató de un hecho aislado y sin ninguna intencionalidad,
sin que por otra parte, ninguno de los titulares de las restantes direcciones que figuran
en el envío en cuestión nos haya manifestado queja, reclamación o siquiera interés al
respecto sobre tal circunstancia acaecida.”
QUINTO: Con fecha 28 de diciembre de 2019 se formuló propuesta de resolución,
proponiendo la imposición de una sanción de 2.500 euros (dos mil quinientos euros) por
la comisión de una infracción del artículo 5.1.f) del RGPD en relación con el artículo 5 de
la LOPDGDD, tipificada en el artículo 83.5.a) del RGPD.
SEXTO: Notificada la propuesta de resolución del presente procedimiento sancionador,
el reclamado presentó escrito de alegaciones en el que manifiesta lo siguiente:
“Esta parte considera que la Propuesta de Resolución quebranta el PRINCIPIO DE
PROPORCIONALIDAD que rige en la aplicación del Derecho Administrativo
Sancionador.
En base a los hechos y lo alegado en anteriores escritos, consideramos que aplicando
los principios de proporcionalidad la sanción no debería ir más allá del apercibimiento
señalado en el artículo 58.2 b) del RGPD que habla de: “sancionar a todo responsable
o encargado de tratamiento con apercibimiento cuando las operaciones de tratamiento
hayan infringido lo dispuesto en el presente Reglamento”.
La aplicación de sanciones administrativas ha de realizarse en base a la intención del
infractor y su grado de culpabilidad, a la persistencia o repetición en el tiempo de la
infracción, al perjuicio causado por la conducta infractora y a la reincidencia en las
actitudes lesivas.
Como queda acreditado en la documentación remitida, la comunicación sin copia
oculta se debe a un error humano, el Partido Político VOX puso medidas técnicas para
evitar nuevos errores en las comunicaciones, se comunicó con los afectados
explicando la situación y las medidas, el afectado y denunciante acepto las disculpas y
medidas adoptadas por la organización a pesar de mostrar su disconformidad con la
organización local.
El principio de proporcionalidad de las sanciones administrativas se encuentra
regulado en el Art. 29 , Ley 40/2015, de 1 de octubre y se puede definir, según el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/7
Diccionario del español jurídico de la RAE y el CGPJ como la "garantía del derecho
administrativo sancionador que debe entenderse consagrada en el artículo 25.1 de la
Constitución Española y exige que en la determinación normativa del régimen
sancionador así como en la imposición de la sanción por la Administración se guarde
la debida adecuación o correspondencia entre la gravedad de la infracción cometida y
la intensidad de la sanción aplicada".
Lo anteriormente expuesto, ha de conectarse con lo dispuesto en el artículo 28 de la
Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que establece
como uno de los principios de la potestad sancionadora el de la “Responsabilidad”,
determinando al respecto en su apartado 1 que: “Sólo podrán ser sancionadas por
hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así
como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las
uniones y entidades sin personalidad jurídica y los patrimonios independientes o
autónomos, que resulten responsables de los mismos a título de dolo o culpa”.
Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015,
de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, establece que: “Además de los derechos previstos en el apartado anterior,
en el caso de procedimientos administrativos de naturaleza sancionadora, los
presuntos responsables, tendrán los siguientes derechos: (…) b) A la presunción de no
existencia de responsabilidad administrativa mientras no se demuestre lo contrario”.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
PRIMERO: la reclamada ha remitido un correo sin copia oculta a los afiliados de dicho
partido político.
SEGUNDO: La reclamada reconoce los hechos indicando que se trató de un error, y
que una vez detectado, se procedió a adoptar las medidas de seguridad ajustadas al
efecto, de revisión del protocolo de envío de comunicaciones, así como de la
formación y concienciación del personal encargado de tales labores para evitar que en
el futuro se pudiera repetir acciones similares.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
II
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/7
Por su parte, el artículo 5 del RGPD establece que los datos personales serán:
“a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés
público, fines de investigación científica e histórica o fines estadísticos no se considerará
incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para
los que son tratados («minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que sean
inexactos con respecto a los fines para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados durante
no más tiempo del necesario para los fines del tratamiento de los datos personales; los
datos personales podrán conservarse durante períodos más largos siempre que se traten
exclusivamente con fines de archivo en interés público, fines de investigación científica o
histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de
la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente
Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo
de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su
pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u
organizativas apropiadas («integridad y confidencialidad»).
El responsable del tratamiento será responsable del cumplimiento de lo dispuesto
en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).”
III
De conformidad con las evidencias obtenidas, se considera que los hechos
denunciados, es decir, remitir un correo electrónico promocional sin copia oculta,
enviado a una multitud de destinatarios, supone la vulneración del artículo 5.1 f) del
RGPD, que rige los principios de integridad y confidencialidad de los datos personales, así
como la responsabilidad proactiva del responsable del tratamiento de demostrar su
cumplimiento.
En respuesta a las alegaciones presentadas ante la propuesta de resolución
del presente procedimiento sancionador, donde se solicita que sea sancionado con un
apercibimiento, de conformidad con el artículo 58.2 b) del RGPD, en virtud del principio
de proporcionalidad, ya que los hechos reclamados son como consecuencia de un
error humano, debe señalarse que el 24 de mayo de 2019, se dio traslado de la presente
reclamación al reclamado, solicitándole que en el plazo de un mes aporte a esta Agencia
información sobre las causas que han motivado la incidencia que ha originado la
reclamación y las medidas adoptadas para evitar que se produzcan incidencias similares.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/7
Aunque el reclamado no se dirigió a esta Agencia hasta el 10 de octubre de 2019,
en dicho escrito manifestó que había procedido a adoptar las medidas de seguridad
ajustadas al efecto, revisando el protocolo de envío de comunicaciones, así como la
formación y concienciación del personal encargado de tales labores para evitar que en
el futuro se pudiera repetir acciones similares.
IV
El artículo 72.1.a) de la LOPDGDD señala que “en función de lo que establece el
artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los
tres años las infracciones que supongan una vulneración sustancial de los artículos
mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679
V
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control
dispondrá de todos los siguientes poderes correctivos indicados a continuación:
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de
una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
VI
Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen
de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con
los siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente no intencional, pero significati-
va (artículo 83.2 b)
Se encuentran afectados identificadores personales básicos, según el art. 83.2 g)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/7
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, al haber sido
adoptadas medidas de seguridad ajustadas al efecto, revisado el protocolo de envío
de comunicaciones, y procederse a la formación y concienciación del personal
encargado del envío de correos electrónicos,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a VOX ESPAÑA, con NIF G86867108, por una
infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5 del RGPD, una
sanción de apercibimiento.
SEGUNDO: REQUERIR a VOX ESPAÑA con NIF G86867108, para que en el
plazo de un mes desde este acto de notificación acredite ante este organismo la adopción
de las medidas técnicas u organizativas apropiadas para garantizar una seguridad
adecuada respecto de los datos personales que trata, incluida la protección contra el
tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, de
conformidad con el artículo 5.1 f) del RGPD
TERCERO: NOTIFICAR la presente resolución a VOX ESPAÑA con NIF G86867108.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/7
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es