1/7
Procedimiento Nº: PS/00449/2019
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 26 de junio de 2019
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra PARTIT DELS SOCIALISTES DE CATALUNYA (PSC-
PSOE), con NIF G08564379 (en adelante el reclamado)
Los motivos en que basa la reclamación son la recepción de una carta dirigida a un
familiar del reclamante pidiendo dar apoyo político al candidato del Partido Socialista.
Dicha carta iba encabezada por B.B.B., especialista en cirugía general y digestiva.
El único vínculo que unía a la receptora de la carta con el citado doctor, era de
paciente-profesional, y en ningún caso se había prestado el consentimiento expreso
para recibir este tipo de comunicación política.
SEGUNDO: Se trata de poner en conocimiento del PARTIT DELS SOCIALISTES DE
CATALUNYA (PSC-PSOE), la presente reclamación el 29 de agosto de 2019,
requiriéndoles para que en el plazo de un mes remitan a esta Agencia, información
sobre la respuesta dada al reclamante por los hechos denunciados, así como las
causas que han motivado la incidencia y las medidas adoptadas para su subsanación
de conformidad con el artículo 5.1 f) del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo de 27 de abril de 2016 (RGPD).
El 19 de septiembre de 2019 el PSC en respuesta al citado requerimiento de la AEPD,
ha manifestado que el reclamado concurrió a las elecciones municipales formando
parte de la coalición electoral Candidatura del Progres (CP) ya que había ejercido de
concejal de CP del Ayuntamiento de Lleida.
En el periodo de campaña electoral el reclamado acudió a la sede de la federación del
PSC portando una caja de sobres ya cerrados (sin membrete, logo ni remitente
alguno) dando directamente instrucción al personal de la Federación que tramitara su
envío. Dicho personal procedió a su envío en atención al hecho de que el solicitante
era destacado candidato de la lista electoral.
El reclamado ignora el origen de los datos, si bien podría deducirse que provenían de
la agenda personal de B.B.B., destacado médico de la localidad.
Que si bien fue proclamado electo renunció a su acta de concejal, por cuanto en la
actualidad nada le vincula al PSC.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/7
En relación con el citado doctor, se tiene conocimiento de que la notificación remitida
el 29 de agosto de 2019, no ha sido entregada por encontrarse ausente de reparto, por
lo que esta Agencia decide reiterar dicha solicitud de información el 23 de septiembre
de 2019, constando en esta segunda ocasión como desconocido.
TERCERO: Con fecha 24 de febrero de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del Artículo 5.1.b) del RGPD, tipificada en el Artículo 83.5 del
RGPD.
CUARTO: Con fecha 9 de junio de 2020, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas las
actuaciones previas de investigación, E/07792/2019, así como los documentos
aportados por el reclamado.
QUINTO: Con fecha 22 de junio de 2020 se formuló propuesta de resolución,
proponiendo que se sancione a PARTIT DELS SOCIALISTES DE CATALUNYA (PSC-
PSOE), con NIF G08564379, por una infracción del artículo 5.1.b) del RGPD, tipificada
en el artículo 83.5 del RGPD, una multa de 5000€ (cinco mil euros).
De las actuaciones practicadas en el presente procedimiento y de la
documentación obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El ***FECHA.1, se publica en www.segre.com/noticies/lleida, que el
Colegio Oficial de Médicos de Lleida va a proceder a la investigación de las cartas
enviadas por el doctor B.B.B., con motivo de las elecciones del año 2019.
La polémica surge como consecuencia de la recepción de una carta del citado
doctor pidiendo su apoyo electoral por un familiar de un paciente suyo, que había
muerto en el año 2002.
SEGUNDO: Recepción de una carta dirigida a un familiar del reclamante pidiendo dar
apoyo político al candidato del Partido Socialista.
TERCERO: El 19 de septiembre de 2019 el PSC en respuesta al citado requerimiento
de la AEPD, ha manifestado que el reclamado concurrió a las elecciones municipales
formando parte de la coalición electoral Candidatura del Progres (CP) ya que había
ejercido de concejal de CP del Ayuntamiento de Lleida.
En el periodo de campaña electoral B.B.B., destacado médico de la localidad
acudió a la sede de la federación del PSC portando una caja de sobres ya cerrados
(sin membrete, logo ni remitente alguno) dando directamente instrucción al personal
de la Federación que tramitara su envío.
Dicho personal procedió a su envío en atención al hecho de que el solicitante
era destacado candidato de la lista electoral.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/7
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del
RGPD y en los art. 47 y 48.1 de LOPDGDD.
II
El artículo 4.1) del RGPD define como datos personales, “toda información so-
bre una persona física identificada o identificable («el interesado»); se considerará
persona física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o va-
rios elementos propios de la identidad física, fisiológica, genética, psíquica, económi-
ca, cultural o social de dicha persona.”
El artículo 4.2) del RGPD define el «tratamiento» como “cualquier operación o
conjunto de operaciones realizadas sobre datos personales o conjuntos de datos per-
sonales, ya sea por procedimientos automatizados o no, como la recogida, regis-
tro, organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
Así las cosas se considera que existe tratamiento de datos personales desde el
momento en que se comunica o se difunden los datos personales.
El artículo 6.1 del RGPD, establece que “de conformidad con lo dispuesto en el
artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afec-
tado toda manifestación de voluntad libre, específica, informada e inequívoca por la
que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tra-
tamiento de datos personales que le conciernen”.
Por su parte, el artículo 5 del RGPD establece que los datos personales serán:
“a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en inte-
rés público, fines de investigación científica e histórica o fines estadísticos no se consi-
derará incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines
para los que son tratados («minimización de datos»);
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/7
sean inexactos con respecto a los fines para los que se tratan («exactitud»);
e) mantenidos de forma que se permita la identificación de los interesados du-
rante no más tiempo del necesario para los fines del tratamiento de los datos persona-
les; los datos personales podrán conservarse durante períodos más largos siempre
que se traten exclusivamente con fines de archivo en interés público, fines de investi-
gación científica o histórica o fines estadísticos, de conformidad con el artículo 89,
apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apro-
piadas que impone el presente Reglamento a fin de proteger los derechos y libertades
del interesado («limitación del plazo de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los da-
tos personales, incluida la protección contra el tratamiento no autorizado o ilícito y
contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas
técnicas u organizativas apropiadas («integridad y confidencialidad»).
El responsable del tratamiento será responsable del cumplimiento de lo dis-
puesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).”
III
De conformidad con las evidencias de las que se dispone en el presente
momento del procedimiento sancionador, se considera que, ha quedado acreditado
que el reclamado, ha utilizado los datos facilitados por B.B.B., destacado médico de la
localidad, para enviarle una carta a un familiar del reclamante, pidiéndole su apoyo
político, al presentarse como candidato en la lista electoral del partido político
reclamado, lo cual es claramente una finalidad distinta para la que fueron dados dichos
datos, que no era otra que la propia entre un paciente con su médico.
Tales hechos quedan acreditados por el periódico www.segre.com, en su
publicación de ***FECHA.1, siguiendo el enlace: ***URL.1
Además, se ha constatado también que fue desde la sede del partido desde
donde se enviaron las cartas de propaganda electoral con los datos de los pacientes
que facilitó el citado médico.
Por ello, se imputa al reclamado la comisión de una infracción por vulneración
del artículo 5.1 b) del RGPD, que rige el principio de limitación de la finalidad, así como
la responsabilidad proactiva del responsable del tratamiento de demostrar su
cumplimiento.
IV
El artículo 72.1.a) de la LOPDGDD señala que “en función de lo que establece
el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribi-
rán a los tres años las infracciones que supongan una vulneración sustancial de los ar-
tículos mencionados en aquel y, en particular, las siguientes:
El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/7
V
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control
dispondrá de todos los siguientes poderes correctivos indicados a continuación:
b) sancionar a todo responsable o encargado del tratamiento con
apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en
el presente Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en lu-
gar de las medidas mencionadas en el presente apartado, según las circunstancias de
cada caso particular;
VI
Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del vo-
lumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo
con los siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente no intencional, pero signifi-
cativa (artículo 83.2 b)
Se encuentran afectados identificadores personales básicos (nombre, apelli-
dos, domicilio), según el artículo 83.2 g)
VII
Por otra parte, en el artículo 83.7 del RGPD se dispone que, sin perjuicio de los
poderes correctivos de las autoridades de control en virtud del art. 58, apartado 2,
cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida,
imponer multas administrativas a autoridades y organismos públicos establecidos en
dicho Estado miembro.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a PARTIT DELS SOCIALISTES DE CATALUNYA (PSC-
PSOE), con NIF G08564379, por una infracción del artículo 5.1.b) del RGPD, tipificada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/7
en el artículo 83.5 del RGPD, en relación con el artículo 72.1 a) de la LOPDGDD, una
multa de 5000 € (cinco mil euros).
SEGUNDO: NOTIFICAR la presente resolución a PARTIT DELS SOCIALISTES DE
CATALUNYA (PSC-PSOE).
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto
en el art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante LPACAP),
en el plazo de pago voluntario establecido en el art. 68 del Reglamento General
de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en
relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su
ingreso, indicando el NIF del sancionado y el número de procedimiento que
figura en el encabezamiento de este documento, en la cuenta restringida nº
ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/7
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es