1/14
Procedimiento Nº: PS/00480/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los
siguientes
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 14/08/2020, interpuso
reclamación ante la Agencia Española de Protección de Datos que se dirige contra
SACRAMENTAL Y PENITENCIAL COFRADÍA DE NUESTRO PADRE JESÚS
SACRAMENTADO Y MARÍA SANTÍSIMA DE LA PIEDAD, AMPARO DE LOS LEONESES,
con CIF G24294787 (en adelante, la reclamada). Los motivos en que basa la reclamación
son que es miembro de la Cofradía reclamada y “nunca se ha recabado su consentimiento
para el tratamiento de sus datos”, “ni se le ha informado de los derechos que le asisten”.
Señala también que el dato de su e-mail se ve expuesto en las comunicaciones realizadas
por la reclamada a sus miembros, al remitir los correos sin copia oculta.
Aporta copia de dos e-mails en los que se pueden ver los correos de los destinatarios, de
18/03, y 29/09/2019. En la mayoría de los correos su denominación es la de nombre y
apellidos, figurando la del reclamante.
En el de septiembre, que lleva un archivo pdf adjunto denominado “comunicado” se informa
entre otros aspectos, de los asuntos acordados en la Junta de Gobierno celebrada el
28/09/2019 y de los cambios de la Junta de Gobierno.
Figura en ambos correos un literal informativo sobre los datos personales, indicando:
“los datos personales incluido su e mail son tratados de acuerdo a las disposiciones del
RGPD”
“La finalidad de este tratamiento será la gestión de la actividad empresarial habitual a través
de sistemas de comunicación con todos los interesados.”
“Le informamos que los datos han sido obtenidos por consentimiento del interesado por
derivación de una obligación contractual, por una cesión legitima o desde una fuente de
acceso publica”
Se ofrece la posibilidad de ejercer los derechos.
SEGUNDO: A la vista de los hechos denunciados y de los documentos aportados por el re-
clamante de los que ha tenido conocimiento esta Agencia, la Subdirección General de Ins-
pección de Datos procedió a la realización de actuaciones para el esclarecimiento de los he-
chos en cuestión.
El 28/09/2020, fue trasladada a la reclamada la reclamación presentada para su análisis y
comunicación y comunicara la decisión adoptada al respecto. Igualmente, se le requería
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
para que en el plazo de un mes remitiera a la Agencia determinada información:
- Copia de las comunicaciones, de la decisión adoptada que haya remitido al recla-
mante a propósito del traslado de esta reclamación, y acreditación de que el recla-
mante ha recibido la comunicación de esa decisión.
- Informe sobre las causas que han motivado la incidencia que ha originado la recla-
mación.
- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias si-
milares.
- Cualquier otra que considere relevante.
La reclamada no dio respuesta al requerimiento formulado.
TERCERO: El 15/12/2020, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de
5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo
LOPDGDD), la Directora de la Agencia Española de Protección de Datos acordó admitir a
trámite la reclamación presentada por el reclamante contra la reclamada.
CUARTO: Con fecha 25/01/2021, la Directora de la Agencia Española de Protección de Da-
tos acordó iniciar procedimiento sancionador de apercibimiento a la reclamada, por las pre-
suntas infracciones de los artículos 5.1.f), 13 y 32.1 del RGPD, sancionadas conforme a lo
dispuesto en los artículos 83.5.a), 83.5.b) y 83.4.a) del citado RGPD.
QUINTO: Notificado el acuerdo de inicio, la reclamada el 01/03/2021, presentó escrito de
alegaciones, manifestando:
-Efectivamente se cometió el error de remitir un correo a integrantes de la Cofradía en el que
todos los destinatarios podían ver el correo electrónico del resto de personas. El día
30/09/2019, se comunicó la incidencia a todos los interesados. Aporta copia de documento
TRES con la redacción de 30/09/2019 de comunicación del error a los miembros.
-Señala que con la herramienta “***HERRAMIENTA.1” después de 29/09/2019 se han se-
guido mandado correos al reclamante sin incidencias. Aporta copia de documento CUATRO,
figurando su e mail, “contacto añadido el 12/01/2020””ultima actividad 14/02/2020”, “doce e
mails entregados, once abiertos”. Añade el listado de los e mails enviados, fechas, que van
de 13/03/2020 a 7/09/2020, y si han sido abiertos, entregados, o “cliqueados”.
-Se comunicó a los integrantes de la Cofradía que “para elaborar el carnet identificativo de la
Cofradía es necesario actualizar los datos y la política de protección de datos mediante un
formulario de actualización de datos-enlace a GOOGLE FORMS-“ no se aporta copia del for-
mulario.
“En el citado correo se puede observar que cualquier destinatario puede cancelar en cual-
quier momento la suscripción a esa lista de comunicaciones de la Cofradía”. “Todas las co-
municaciones incluyen en su parte final un extracto del tratamiento que se da a los datos del
receptor de la comunicación, los derechos que tiene y la forma de ejercitarlos, tal como exi-
ge el RGPD”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
Aporta documento CINCO titulado “información de interés y formulario”, de 13/10/2020, en el
que informa de que se va a elaborar un “carnet identificativo”, siendo obligatorio “rellenar el
siguiente literal informativo aceptando también así la actualización de la política de protec-
ción de datos. ***URL.1”. El literal informativo es el mismo que los correos de marzo 2019 y
29/09/2019 reflejados en el hecho primero. Se añade la opción “PULSE AQUÍ PARA CAN-
CELAR LA SUSCRIPCION” “si procede a la cancelación de la suscripción, dejará de recibir
las notificaciones en relación a la Cofradía, siendo éste el único medio de información ofi-
cial”.
-Aporta copia de otros correos informativos, reiterando la cumplimentación del formulario, y
conteniendo el mismo literal informativo con la misma opción de “cancelar la suscripción”.
-Añade que los datos personales del reclamante fueron recogidos en la solicitud de alta, no
habiendo recibido desde entonces comunicación por parte del mismo de que quisiera ejercer
ninguno de los derechos reconocidos en la legislación anterior y en la vigente.
Aporta copia de “Solicitud de entrada en la Cofradía” del reclamante con sus datos, inclu-
yendo dirección de e mail, fecha de alta 5/07/2011.
El literal informativo de recogida de datos señala:
-La finalidad del tratamiento de los datos es el “mantenimiento de la relación como persona
perteneciente a la Cofradía, con las finalidades concretas establecidas en los Estatutos”.
-Además, “estos datos podrán ser utilizados para enviarte información de tu interés así
como sobre actividades de la Cofradía”.
-Se ofrece la explicación del ejercicio de derechos y la opción de “si tienes alguna duda
puedes enviar un correo electrónico a…”
SEXTO: Con fecha 12/03/2021, se inició un período de práctica de pruebas, acordándose
las siguientes
Dar por reproducidos a efectos probatorios:
- La reclamación interpuesta por el reclamante y su documentación, los documentos obteni-
dos y generados por los Servicios de Inspección que forman parte del expediente E/
07622/2020.
- Las alegaciones al acuerdo de inicio PS/00480/2020 presentadas por la reclamada y la do-
cumentación que a ellas acompaña.
-Se solicita a la reclamada que informe y, en todo caso, aporte prueba de las medidas técni-
cas y/u organizativas adoptadas a fin de evitar que se produzcan incidencias como las que
han dado lugar a la apertura del presente procedimiento.
Dentro del plazo otorgado no se recibió respuesta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
SÉPTIMO: Con fecha 23/04/2021, se acordó el cambio de Instructor, notificándose a la re-
clamada con resultado de devuelto por sobrante al no ser retirado el envío acreditándose en
el expediente.
OCTAVO: Con fecha 4/05/2021 se recibe escrito de la reclamada, que responde a la peti-
ción efectuada en pruebas.
- El 10/01/2020 se contrató un nuevo sistema de correo electrónico que ofrece servicios de
“página web” y “sistema de correo electrónico webmail” con el sistema de “e mail marke-
ting”, que es un sistema utilizado para la estrategia de marketing por correo electrónico,
adaptado a las necesidades de la reclamada y sus miembros. Implica la entrega de un men-
saje inmediato y personal mediante correo electrónico al grupo de personas que integra la
misma. Aporta copia de parte de contrato en documento 1.
“Los mensajes se mandan directamente a la bandeja de entrada de los destinatarios reci-
biéndolos éstos de manera particular e individual”. “Previamente los contactos tienen que
aceptar o consentir recibir los correos.” “El consentimiento ha de prestarse de manera ex-
presa en la solicitud de entrada o de inscripción en la Cofradía.”
-Aporta en documento 2, copia de “hoja de inscripción” donde se contemplan entre otros los
datos de correo electrónico, se informa de la finalidad del tratamiento: “la gestión de la acti-
vidad empresarial habitual a través de sistemas de comunicación con todos los interesados”,
y el modo de ejercer los derechos. No existe información directamente relacionado con los e
mails, ni la explicación de la finalidad de dicho tratamiento con la opción de no otorgar el
consentimiento en ese aspecto concreto, y sus consecuencias.
-Detalla como se gestiona el envío de los correos, partiendo de la creación de una serie de
listas de contactos con los correos electrónicos. A la hora de enviar un correo, se elabora
una plantilla con la información a enviar a los miembros, incluyendo un enlace para darse de
baja. La plantilla publicada en el sistema permite añadir a los destinatarios con el nombre
del listado, sin tener que acceder a los datos de cada uno de los contactos. Adjuntan en do-
cumento CINCO, los pasos definidos del envío. “Una vez recibido el correo enviado desde
la Cofradía, ningún destinatario tiene acceso alguno a las direcciones de correo a los que ha
sido enviada también dicha información “. En documento SEIS manifiesta que se adjunta do-
cumento enviado desde la Cofradía tal como lo veríamos cualquiera de los remitentes esta-
blecidos, pero no es aportado.
NOVENO: Con fecha 2/08/2021, se emite propuesta de resolución con el literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione con aper-
cibimiento a SACRAMENTAL Y PENITENCIAL COFRADÍA DE NUESTRO PADRE JESÚS
SACRAMENTADO Y MARÍA SANTÍSIMA DE LA PIEDAD, AMPARO DE LOS LEONESES,
con CIF G24294787, por infracción de los artículos 13, 5.1.f) y 32.1 del RGPD, de conformi-
dad con lo establecido en los artículos 83.5.b), 83.5.a) y 83.4.a) del RGPD.
“Se lleve a efecto por la reclamada la ejecución tendente a la correcta adecuación informati-
va del e mail de los miembros para el uso de los envíos de correos electrónicos”
No se recibieron alegaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
HECHOS PROBADOS
1) El reclamante es cofrade de la reclamada desde que presentó su “Solicitud de entrada en
la Cofradía” (alta 5/07/2011) que incluía entre otros datos, su dirección de e mail. El literal
informativo de recogida de datos señalaba que la finalidad del tratamiento de los datos es el
“mantenimiento de la relación como persona perteneciente a la Cofradía, con las finalidades
concretas establecidas en los Estatutos ”“estos datos podrán ser utilizados para enviarte in-
formación de tu interés así como sobre actividades de la Cofradía”.
2) El 14/08/2020 tiene entrada en la AEPD reclamación del reclamante señalando que es
miembro de la Cofradía reclamada, y recibió dos e mails sin copia oculta, pudiendo ver to-
dos los destinatarios las direcciones de todos, entre ellas, la suya. Los correos llevaban fe-
cha de 18/03 y 29/09/2019. La reclamada reconoce los envíos sin copia oculta. El literal in-
formativo asociado a esos dos correos electrónicos señalaba:
“los datos personales incluido su e mail son tratados de acuerdo a las disposiciones del
RGPD”
“La finalidad de este tratamiento será la gestión de la actividad empresarial habitual a través
de sistemas de comunicación con todos los interesados.”
“Le informamos que los datos han sido obtenidos por consentimiento del interesado por
derivación de una obligación contractual, por una cesión legitima o desde una fuente de
acceso publica”.
Los e mails enviados no contenían el literal que posibilite dejar de recibir estos correos.
3) Destaca una diferencia en información sobre la base legitimadora, cuando se recogen los
datos, que indica la relación asociativa como finalidad de los datos, y QUE PUEDEN SER
utilizados para “enviarte información de tu interés así como sobre actividades de la Cofradía”
y la información que se contiene en los envíos de los e mails, con la cita en el cuerpo del en-
vío del email de varias bases legitimadoras.
4) La recepción de los comunicados a través de e mail de la reclamada no es obligatoria,
existiendo en correos fechados tras la fechas de los envíos denunciados, la opción de
“cancelar la suscripción”, no existiendo acreditada suscripción propiamente por parte de los
Cofrades. Cuando el reclamante se da de alta en la Cofradía, no se configura por esta el uso
del e mail para tener información de la Cofradía, ni se oferta la opción de no utilizarlo, o no
consentir tal uso.
5) Después de 29/09/2019, se han mandado correos al reclamante, aportando copias, que
van de 13/03/2020 a 7/09/2020, sin incidencias.
6) A partir de 10/01/2020, la reclamada contrató un nuevo sistema de correo electrónico en
el que “Previamente, los contactos tienen que aceptar o consentir recibir los correos.” “El
consentimiento ha de prestarse de manera expresa en la solicitud de entrada o de inscrip-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
ción en la Cofradía.” No aporta el literal informativo para verificar la forma y contenido con-
creto de la información implementada que pudiera guardar relación con el envío de email a
efectos informativos de la Cofradía.
Aportó la reclamada, entre otros, correos enviados tras los que han sido objeto de reclama-
ción, con este nuevo sistema. En uno de 13/10/2020, titulado: “información de interés y for-
mulario” se comunica que se va a elaborar un “carnet identificativo”, siendo obligatorio “relle-
nar el siguiente literal informativo aceptando también así la actualización de la política de
protección de datos. ***URL.1” (no se aporta el citado impreso). No obstante, el literal infor-
mativo del correo de 13/10/2020 es el mismo que los correos de marzo 2019 y 29/09/2019,
con el añadido de la opción “PULSE AQUÍ PARA CANCELAR LA SUSCRIPCION” “si proce-
de a la cancelación de la suscripción, dejará de recibir las notificaciones en relación a la co-
fradía, siendo éste el único medio de información oficial”.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de con-
trol, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agen-
cia Española de Protección de Datos es competente para iniciar y para resolver este proce-
dimiento.
II
Se imputa a la reclamada una infracción del artículo 13 del RGPD, que determina la infor-
mación que debe facilitarse al interesado en el momento de la recogida de sus datos, esta-
bleciendo lo siguiente:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el respon-
sable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la informa-
ción indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su represen-
tante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica
del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses le-
gítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer
país u organización internacional y la existencia o ausencia de una decisión de ade-
cuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos
46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías ade-
cuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del trata-
miento facilitará al interesado, en el momento en que se obtengan los datos personales, la
siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea po-
sible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artícu-
lo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cual-
quier momento, sin que ello afecte a la licitud del tratamiento basado en el consenti-
miento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un re-
quisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar
los datos personales y está informado de las posibles consecuencias de que no faci-
litar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información sig-
nificativa sobre la lógica aplicada, así como la importancia y las consecuencias pre-
vistas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos
personales para un fin que no sea aquel para el que se recogieron, proporcionará al intere-
sado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier
información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la me-
dida en que el interesado ya disponga de la información”.
En general, la base legitimadora del tratamiento de datos estaría relacionada con el
esquema previsto en el artículo 6.1b), el tratamiento es necesario para la ejecución de un
contrato o acuerdo en el que el interesado es parte o para la aplicación a petición de este de
medidas precontractuales.
Ahora bien, en este caso de lo que se trata es del uso del e mail y del engarce en la
recogida de datos, su uso y finalidad.
Los hechos denunciados se materializan inicialmente en la ausencia de información acerca
del tratamiento de datos de carácter personal, singularmente el e mail, si es obligatorio pro-
porcionar el e mail para recibir la información, o si puede no consentiré en ello, dando la op-
ción si así fuera, o detallando las consecuencias de no facilitar tales datos. Además, la base
jurídica del tratamiento del envío por e email de los correos ha de explicitar una base jurídica
de tratamiento.
Debe distinguirse la recogida de datos que se produce al ingresar en la Cofradía, y contiene
unos datos y una información que se daban, figurando entre ellos el e mail, indicando que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
utilizarán “para el mantenimiento de la relación”, añadiéndose que: “Además, estos datos
podrán ser utilizados para enviarte información de tu interés, así como sobre actividades de
la Cofradía”, que es lo que se hace mediante el envío de los e mails. Esta opción de estar in-
formado, que, se deduce, como voluntaria al contener la opción de “cancelar su suscrip-
ción”, no guarda relación con el mantenimiento de la relación, no se completa con la opción
en el momento de la recogida de datos de optar para no recibir información de interés o de
actividades de la Cofradía.
Asimismo, la información contenida en los e mails, tampoco acierta a establecer la base legi-
timadora de estos envíos, mezclando diversos, distintos y contradictorios motivos.
Examinando la información que se da en el alta de los miembros, se informa de modo
general que la finalidad del tratamiento de los datos es el “mantenimiento de la relación
como persona perteneciente a la Cofradía, con las finalidades concretas establecidas en los
Estatutos”
En los e mails se indicaba:
La finalidad de este tratamiento será la gestión de la actividad empresarial habitual a través
de sistemas de comunicación con todos los interesados.”
La finalidad de la recogida debe estar clara y específicamente identificada: debe ser
suficientemente detallada para determinar que tipo de tratamiento está o no está incluido en
el objetivo especificado, y para permitir que se pueda evaluar el cumplimiento de la ley y se
apliquen las salvaguardias de protección de datos. Se debe especificar cualquier finalidad,
es decir definir suficientemente para ser explícito. El objetivo debe ser suficientemente
inequívoco y claramente expresado.
El requisito de que los fines se especifiquen «explícitamente» contribuye a la transparencia y
la previsibilidad. Permite una identificación inequívoca de los límites de la forma en que los
controladores pueden utilizar los datos personales recogidos, con el fin de proteger a los in-
teresados.
Cada objetivo del tratamiento debe estar separado y ser especifico. El mantenimiento o
cumplimiento de la relación asociativa es un objetivo, la información sería otro.
La información del tratamiento y la base legitimadora para el uso y finalidad del tratamiento
del e mail ofrecidas es confusa en la redacción:
“Le informamos que los datos han sido obtenidos por consentimiento del interesado por
derivación de una obligación contractual, por una cesión legitima o desde una fuente de
acceso publica”
En el alta de los miembros, se indica que los datos son para el mantenimiento de la
relación, no precisando del consentimiento. Menos aún, el consentimiento puede hacerse
derivar de “una obligación contractual, por una cesión legitima o desde una fuente de
acceso publica” como se informa en los e mails.
Originariamente, en las altas como Cofrades, no se da la opción al afectado, de modo que
se diferencie la finalidad del mantenimiento de la relación contractual, de la de estar informa-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
do, siendo distintas. Para el mantenimiento de la relación no es necesario el envío de los e
mails a los asociados, que es una añadido voluntario, al ofrecerse la posibilidad de cancelar
la suscripción.
Corresponde a la reclamada acreditar el cumplimiento de lo establecido en el artículo 13 del
RGPD. Por tanto, ha quedado acreditado que, en el momento del alta del reclamante, no se
produce una información adecuada en la recogida y uso de datos de la dirección de e mail y
finalidad de información a los miembros. Circunstancia que permanece y se acredita con los
envíos de los e mails objeto de la reclamación, y que perdura con la actual configuración de
los e mails, que no han variado.
Debería la reclamada reevaluar las finalidades asociativas de la actividad de la reclamada,
de la que formaría parte la aceptación intrínseca de los Estatutos, que es la base
legitimadora originaria de los datos de carácter personal de los integrantes de la Cofradía, y
distinguirla del uso que efectúa de los e mails a los miembros.
La reclamada debe tener en cuenta el tratamiento de otros datos bajo otra base legitimadora
que no obedezca la relación, en este caso estatutaria entre sus miembros integrantes y la
reclamada. Para ello, ha de tener en cuenta los elementos que conforman el consentimiento
informado: “para uno o varios fines específicos”, y la libertad para otorgarlo o retirarlo sin
sufrir perjuicio alguno, así como la posibilidad de revocarlo en cualquier momento con los
mismos efectos.
De acuerdo con el artículo 58.2 del RGPD:
“ 2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación: d) ordenar al responsable o encargado del tratamiento que las
operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando
proceda, de una determinada manera y dentro de un plazo especificado;”
La reclamada deberá acreditar la inclusión de la información pertinente y adecuada al
tratamiento de los datos derivados del email con uso informativo a sus miembros, e informar
de la modalidad y forma por la que se llevaría a efecto.
El artículo 83.5 b) del RGPD, considera que la infracción de “los derechos de los interesados
a tenor de los artículos 12 a 22”” es sancionable, “con multas administrativas de
20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4%
como máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
III
En cuanto a la difusión dada a los e mails objeto de reclamación, el artículo 5 del RGPD es-
tablece los principios que han de regir el tratamiento de los datos personales y menciona en-
tre ellos el de “integridad y confidencialidad”.
El citado artículo señala que:
“1. Los datos personales serán:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos per-
sonales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdi-
da, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizati-
vas apropiadas («integridad y confidencialidad»)”.
(…)
El artículo 5, deber de confidencialidad, de la Ley Orgánica 3/2018, de 5/12, de Protección
de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), seña-
la que:
“1. Los responsables y encargados del tratamiento de datos así como todas las per-
sonas que intervengan en cualquier fase de este estarán sujetas al deber de confidenciali-
dad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria de los
deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun
cuando hubiese finalizado la relación del obligado con el responsable o encargado del trata-
miento”.
La documentación obrante en el expediente ofrece indicios evidentes de que la reclamada,
vulneró el artículo 5.1.f) del RGPD, principio relativo al tratamiento, en relación con el artícu-
lo 5 de la LOPGDD, deber de confidencialidad, al remitir correos electrónicos sin utilizar la
opción de copia oculta.
Este deber de confidencialidad, o deber de secreto, debe entenderse que tiene como finali-
dad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los
mismos, en este caso, las direcciones e mails de los cofrades.
Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al respon-
sable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tra-
tamiento y complementaria del deber de secreto profesional.
La misma reclamada ha señalado que la incidencia que dio lugar a la reclamación vino moti-
vada por el envío de manera incorrecta de los correos electrónicos a los integrantes de la
Cofradía, pues la persona que lo gestionó de manera involuntaria y accidental debió haberlo
remitido como “CCO” (donde cada destinatario no puede ver al resto de destinatarios), en
vez de "Para" (en la que cada destinatario puede ver al resto de destinatarios).
El artículo 83.5 a) del RGPD, considera que la infracción de “los principios básicos para el
tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y
9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado
RGPD, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una em-
presa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía”.
Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica:
“Infracciones consideradas muy graves:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una vul-
neración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías estableci-
dos en el artículo 5 del Reglamento (UE) 2016/679.
(…)”
IV
También la conducta del envío de los correos a terceros incurre en infracción de artículo 32
del RGPD “Seguridad del tratamiento”, que establece:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la natura-
leza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y
gravedad variables para los derechos y libertades de las personas físicas, el responsable y
el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para
garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resilien-
cia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia
de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos,
conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos
datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un me-
canismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para de-
mostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar
que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga
acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del res-
ponsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados
miembros”.
El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas
violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o
ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunica-
ción o acceso no autorizados a dichos datos”.
De la documentación aportada al expediente, evidencia que la reclamada ha vulnerado el ar-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
tículo 32 del RGPD, al producirse un incidente de seguridad en su sistema permitiendo el
acceso a los datos personales, direcciones de correo electrónicos, al ser remitido sin utilizar
la opción de copia oculta permitiendo que el resto de los destinatarios pudieran acceder a
las direcciones de los demás destinatarios de la comunicación con quebrantamiento de las
medidas técnicas y de seguridad establecidas.
La reclamada, el 30/09/2019, al observar la remisión del segundo correo, dio cuenta inme-
diata a todos los destinatarios al objeto de que tuvieran conocimiento de dicha incidencia.
Señala que desde entonces no se ha remitido ningún correo en los que se hayan facilitado
datos personales a otros destinatarios.
Queda acreditado que la reclamada no tenía instauradas adecuadas medidas referidas al
tratamiento de datos en comunicaciones a asociados a su entidad, considerando acreditada
la comisión de esta infracción.
La vulneración del artículo 32 del RGPD se encuentra referenciada en el artículo 83.4.a) del
citado RGPD en los siguientes términos:
“4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con
el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose
de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio
total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43.
(…)”
Por su parte, la LOPDGDD, en su artículo 73, a efectos de prescripción, califica de “Infrac-
ciones consideradas graves”:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una vulnera-
ción sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
(…)
g) El quebrantamiento, como consecuencia de la falta de la debida diligencia,
de las medidas técnicas y organizativas que se hubiesen implantado conforme
a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”.
(…)”
V
El RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2 b)
la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales
que no se adecúen a sus previsiones.
Por otra parte, también se ha tenido en cuenta, en especial, los siguientes elementos.
• Se trata de una pequeña entidad cuya actividad principal no está vinculada con el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
tratamiento de datos personales.
• No es una empresa ni su actividad guarda relación con la obtención de beneficios.
• No se aprecia reincidencia, por no constar la comisión, en el término de un año, de
más de una infracción de la misma naturaleza.
Por lo tanto, de acuerdo con la legislación aplicable,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DIRIGIR una sanción de APERCIBIMIENTO a SACRAMENTAL Y
PENITENCIAL COFRADÍA DE NUESTRO PADRE JESÚS SACRAMENTADO Y MARÍA
SANTÍSIMA DE LA PIEDAD, AMPARO DE LOS LEONESES, con CIF G24294787, por:
- Una infracción del artículo 32 del RGPD, de conformidad con el artículo 83.4.a) del RGPD.
- Una infracción del artículo 5.1.f) del RGPD, de conformidad con el artículo 83.5.a) del
RGPD.
- Una infracción del artículo 13 del RGPD, de conformidad con el artículo 83.5. b) del RGPD.
SEGUNDO: En virtud del artículo 58.2.d) del RGPD, se requiere a la reclamada para que
corrija la información y la finalidad del uso de los envíos a través de los e mails, informando
a esta Agencia en el plazo de dos meses de las medidas adoptadas. Se advierte que la
ausencia de atención del requerimiento puede implicar la infracción prevista en el artículo
83.6 del RGPD.
TERCERO: NOTIFICAR la presente resolución a SACRAMENTAL Y PENITENCIAL
COFRADÍA DE NUESTRO PADRE JESÚS SACRAMENTADO Y MARÍA SANTÍSIMA DE
LA PIEDAD, AMPARO DE LOS LEONESES
CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es