1/16
Expediente Nº: PS/00493/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los
siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 24/09/2019 interpuso reclamación
ante la Agencia Española de Protección de Datos. La reclamación se dirige contra REAL
CLUB NAÚTICO DE RIBADEO con NIF G27122514 (en adelante, el reclamado). Los
motivos en que basa la reclamación son la publicación en la página web y en Facebook del
reclamado, de la sentencia XXX/2019 de la (…) de ***FECHA.1 que contiene sus datos
personales y los de otras personas, sin anonimizar, incluso habiendo sido recurrida (…) por
él. La sentencia contra la del ***JUZGADO.1 de ***FECHA.2, estimaba totalmente la deman-
da interpuesta por el reclamante contra el reclamado, declarando vulnerado el derecho fun-
damental de asociación del actor y la nulidad de la resolución dictada por el reclamado. Re-
fiere la de la Audiencia, apelante el reclamado, la sanción de suspensión de la ***CONDI-
CIÓN.1 con accesoria (…), habiendo sido el reclamante en el periodo XXXX/YYYY,
***PUESTO.1 del Club reclamado. La sentencia clasifica algunas actuaciones del
reclamante como “(…)” y (…). Alude también a datos de otras personas, como el anterior
***PUESTO.2 del Club al que también se le instruyó otro disciplinario, o al titular de una
embarcación que estuvo en (…) y datos de personas identificables como “La (...)”. La
sentencia estima parcialmente las pretensiones del reclamado.
Aporta copia de la impresión de la página web y de Facebook del reclamado, en la que a
3/05 se menciona la sentencia con un enlace para acceder a la misma, con referencia a
fecha de impresión de la hoja de 12/08.
SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las
reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica
3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de
Protección de Datos designados por los responsables o encargados del tratamiento, o a
éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo,
se dio traslado el ***FECHA.3 de su reclamación E/9792/2019 al reclamado para que
procediera a su análisis y diera respuesta en el plazo de un mes. El reclamado no accedió a
la notificación telemática, siendo fecha de rechazo automático el 8/11/2019. Se volvió a
enviar por notificación postal el 8/11/2019.
En fecha 14/01/2020, el reclamado dio respuesta a este requerimiento, manifestando:
1) Cautelarmente han anulado los enlaces que permitían el acceso al texto íntegro de la
sentencia de la página web del Club así como de FACEBOOK. Acompaña documentos 1 y
2. En la copia del 1 contiene para acreditar la retirada la página en la que aún deja el titular
informativo en el que figura “la (…) sentencia que el Real Club náutico de Ribadeo cumplió
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/16
con todos los preceptos legales para la (…) del señor A.A.A., ratifica el expediente discipli-
nario incoado al (…), por lo que no podrá (…)”. “Es una magnífica noticia de la que se dará
cuenta propia pormenorizadamente en nuestra próxima asamblea del mes de agosto”, mien-
tras que en “aquí puede ver la sentencia” no figura nada, declarando el reclamado que ha
sido deshabilitado el link. En el 2, también se aprecia esa mención.
2) Añade que la publicación se efectúa en base al artículo 6.1 f) del RGPD. El tratamiento
de datos es necesario, pues la comunicación pública es imprescindible para la consecución
del interés legítimo que se persigue. Ostenta un interés legítimo en denunciar públicamente
unos hechos graves cometidos por (…) del Club, los cuales dañaron la imagen de la entidad
y de su patrimonio, siendo el contenido de la sentencia contundente al reconocer no solo
irregularidades sino incluso actuaciones que podrían suponer un ilícito penal.
En cuanto a la ponderación de los derechos e intereses en conflicto se van a tener en cuen-
ta:
La información es veraz en tanto aparece incorporada en una resolución judicial no revoca-
da a día de la fecha, la sentencia no contiene ningún dato sensible, al contenido de la sen-
tencia tuvo acceso el público, no a través de las publicaciones efectuadas por el reclamado
sino de los medios de comunicación social.
3) Adjuntan copia de información divulgada por medios de comunicación social como do-
cumentos 3,4,5 y 6 (diarios digitales (…), “***DIARIO.1”, “***DIARIO.2” y “***DIARIO.3” indi-
cando que todas ellas son previas a la publicación realizada “por esta entidad el día ***FE-
CHA.4”. Así figura una de ***FECHA.5 del “***DIARIO.2” con el nombre del reclamante y el
titular (…). La noticia comenta diversos aspectos de la resolución judicial conectados con la
gestión del Club.
Indica que la difusión en su página de FACEBOOK solo alcanzó a 444 personas. documento
7, y que la noticia que se insertó en la página web del Club alcanzó a 138 personas, docu-
mento 8.
TERCERO: En fecha 13/03/2020, tras analizarse la documentación que obraba en el
expediente se dictó resolución E/09792/2019 por la Directora de la AEPD, acordando el
archivo de la reclamación. La resolución fue notificada al reclamante y reclamado, al primero
en fecha 15/06/2020, considerando la suspensión de plazos debido al estado de alarma, y
según aviso de recibo que figura en el expediente.
CUARTO: En fecha 8/07/2020 tuvo entrada en la AEPD recurso de reposición RR 302/2020
del reclamante contra la resolución de archivo, en el que muestra su disconformidad con la
resolución impugnada, argumentando -entre otros razonamientos-, que la sentencia
continúa publicada en la página web del reclamado a 29/06/2020 a través del siguiente
enlace:
***URL.1, resultado de introducir en el buscador GOOGLE las palabras “sentencia
***SENTENCIA.1”, (pág194/220) siendo la web encontrada del reclamado. Acompaña el
resultado de la búsqueda con impresión de pantalla y el acceso a un pdf de 21 páginas
con la sentencia como documento 1 y 2, con la impresión de la fecha en la parte izquierda
de la hoja.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/16
El recurso se firma el 17/12/2020, estimándose y acordando la admisión a trámite de la
reclamación.
QUINTO: Con fecha 24/03/2021, la directora de la AEPD acordó:
“INICIAR PROCEDIMIENTO SANCIONADOR a REAL CLUB NAÚTICO DE
RIBADEO, con NIF G27122514, por la presunta infracción del artículo 6.1 del RGPD de
conformidad con el artículo 83.5.a) del RGPD.
“a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
pudiera corresponder sería de multa de 6.000 euros (seis mil euros) sin perjuicio de lo que
resulte de la instrucción.”
En cuanto a la notificación del acuerdo de inicio, figura en el expediente el certificado del
prestador del servicio de notificaciones y dirección electrónica habilitada, de la Fábrica
Nacional de Moneda y Timbre del 5/04/2021, de que se envía la notificación al reclamado
con puesta a disposición 25/03/2021 y fecha de rechazo automático 5/04/2021 que se
produce tras haber transcurrido 10 días naturales desde su puesta a disposición para su
acceso según el párrafo dos artículo 43 de la ley 39/2015 de 1/10.
No se reciben alegaciones.
SEXTO: Con fecha 10/11/2021 se formula propuesta de resolución con el literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione a REAL
CLUB NÁUTICO DE RIBADEO, con NIF G27122514, por una infracción del artículo 6.1 del
RGPD, tipificada en el artículo 83.5 del RGPD, y a efectos de prescripción en el artículo
72.1.b) de la LOPDGDD con una multa de 6.000 euros.”
En la misma se indicaba:
“La presente propuesta se envía mediante correo postal con el fin extraordinario que
conozca la notificación, si bien la Ley 39/2015, de 1/10, de Procedimiento Administrativo
Común de las Administraciones Públicas, (LPCAP) establece la obligación para las
personas jurídicas, entre las que se encuentran las asociaciones, de relacionarse
electrónicamente con las Administraciones Públicas. Al mismo tiempo, con la finalidad de
que se produzca el efectivo cumplimiento de las medidas que puedan consignarse en la
resolución, caso de confirmarse la infracción, para que no se reitere la infracción o deje de
producirse, ya que de acuerdo con el artículo 58.2 d) del RGPD, cada autoridad de control
podrá “ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de
una determinada manera y dentro de un plazo especificado…”.
Se le hace saber asimismo que la resolución le será notificada electrónicamente.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/16
SÉPTIMO: Con fecha 2/12/2021, se reciben alegaciones en las que manifiesta:
1) La situación que dio lugar a la denuncia, tiene origen en un conflicto existente entre la
(...) de la que formó parte el reclamante y la que le precede (reclamante durante el periodo
X-XX-XX al X-XX-XX y B.B.B. durante el periodo X-XX-XX al XX-XX-XX). Esta nueva (...),
desde su toma de posesión, hasta la llegada de la propuesta de resolución, solo era
conocedora de que, al final del mandato de su antecesora, se había iniciado por la AEPD un
expediente a instancia del reclamante, “y que este había sido archivado tras cumplir el Club
las indicaciones de la Agencia.”
Es por tanto ahora, cuando esta (...) tiene conocimiento de la reapertura del expediente ya
que no fue informada de ello por el reclamante ni le llegó notificación alguna de la AEPD. No
se ha recibido, o al menos no hay constancia de ello, ninguna notificación telemática sobre
este particular, así las cosas, hay que señalar que tiene activado un correo para interactuar
con la Agencia Tributaria, desde el día 27/12/2019, siendo el recurso de reposición de fecha
1-07-20 y la admisión a trámite de la reclamación de 17-12-20. Aporta un “justificante
mantenimiento datos teléfono y dirección electrónica para recibir avisos de la AEAT “, en
que el proporcionan una dirección de correo electrónico y un teléfono móvil para envío de
avisos informativos, y sendas cruces en el apartado de ALTA.
2) Prescripción de la infracción. Denuncia de 24/09/2019, que dio lugar a la resolución
notificada al reclamante el 15/06/2020, E/9792/2019, que recurre en reposición,
resolviéndose el 17/12/2020 la admisión a trámite de la reclamación. Con fecha 24/03/2021
se acordó “reiniciar el procedimiento que no ha sido efectivamente notificado a esta parte
hasta el 18/11/2021, es decir dos años y dos meses después de la denuncia inicial, un año y
cinco meses desde el recurso de reposición.”
“No habiendo plazo para el “día a quo”, es necesario acudir a la norma supletoria aplicable,
el artículo 30, apartado 2, de la Ley 40/2015, de 1/10, indica que ''el plazo de prescripción de
las infracciones comenzará a contarse desde el día en que la infracción se hubiera
cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a
correr desde que finalizó la conducta infractora”'
“El plazo prescripción para multas inferiores a 40.000 euros es de un año según Reglamento
(UE) 2016/679 y artículo 78 Ley Orgánica 3/2018, de 5 de diciembre. Según el Artículo 75.
Interrupción de la prescripción de la infracción:
“Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del
procedimiento sancionador, reiniciándose el plazo de prescripción si el expediente
sancionador estuviere paralizado durante más de seis meses por causas no imputables al
presunto infractor.”
3) “Carácter público del ***PUESTO.1 de la entidad”, el ***PUESTO.1 “(…) de la entidad y
al que le encomienda su estatuto (textualmente) (…). Menciona el artículo XX de los
estatutos que correlaciona la representación del ***PUESTO.1 del Club ante personas
físicas o jurídicas, (…). Aporta copia de los Estatutos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/16
4) El reclamante (…) como ***PUESTO.1 del Club y como (…) años antes de las
circunstancias descritas. Se puede hacer una rápida consulta por el navegador de internet,
de modo que la persona tiene (…). Acompaña cuatro urls de noticias de varios años antes
de la publicación de la sentencia en su web.
Los hechos relacionados en la sentencia crearon una situación de enorme conflictividad y
tuvo dentro del Club, y por ende “en la localidad de Ribadeo y comarca” una gran
trascendencia pública, tanto por la relevancia de los personajes como de la propia
institución. El conflicto tuvo un amplio seguimiento en los medios de comunicación
publicando todas las partes las vicisitudes de todos y cada uno de los pormenores del
conflicto. Los hechos relacionados con la imputación causaron una relevante consternación
en la zona y especialmente entre los socios. Son múltiples los enlaces de noticias que
siguen el procedimiento desde el primer momento.
5) El procedimiento judicial no solamente se dirigía frente a él sino también por haberse
expulsado (...) que se tramitaron en procedimientos diferentes con distintos resultados.
Si bien al (…) en la sentencia de primera instancia se declaró la nulidad de la (…), la (…)
revocó la sentencia, que ha confirmado (…). Sin embargo, hay que señalar que las
resoluciones contenían elementos inculpatorios y exculpatorios y se consideró que su
publicación resultaba que ofrecía la información más objetiva, sin que ningún dato personal
diferente de los que ya estaban en los medios de comunicación trascendiera, ya que el
único dato personal era el nombre del (…).
Hay multitud de enlaces que recogen el devenir del procedimiento en el que el propio
interesado, a pesar de no ostentar el cargo, hace declaraciones públicas sobre el mismo, sin
poner reparos a que se le mencione por su nombre, incluso se incorpore una fotografía a la
noticia, por ejemplo en la noticia del 20XX sobre la primera resolución judicial del Juzgado,
figura la noticia de que un juez anula la sanción contra el (…) del Club náutico de Ribadeo y
de la noticia se hace eco el “(…)”, cuando “(…)” Aporta copia del link en el ***DIARIO.2.
También en los medios de comunicación locales y provinciales se informó de la resolución
de la Audiencia (…) que la dotan de cierta complejidad porque corrige, la anterior y declara
procedente (…), y también recoge elementos exculpatorios. Aporta un link del diario ***DIA-
RIO.2 en el que indica la noticia que se transpone:
(…).
(...).
También la sentencia (…) en la noticia que aparece figura el nombre íntegro del (…). Aporta
el link ver la noticia de ***DIARIO.3 sobre esta resolución (…).
6) Existe interés legítimo del reclamado en el tratamiento amparado en el artículo 6.1. f)
del RGPD, aludiendo a que fue una situación controvertida entre las dos anteriores (...) que
dieron lugar a la anulación de las sanciones al ***PUESTO.2 y al ***PUESTO.3 pero que
mantuvieron la (…) del ***PUESTO.1.
Existía evidente interés legítimo en velar por el prestigio de la entidad que obviamente
incluye su imagen pública siendo el (…) un personaje público, reiterando su relevancia
pública que deriva de los Estatutos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/16
Se consideró por el entonces ***PUESTO.1, adecuado trasladar el texto íntegro de la
sentencia en la página de internet del Club para mayor información de sus socios, puesto
que todo este asunto estaba causando un enorme revuelo en la entidad y es un medio
proporcionado, considerando que no se contiene “ninguna información personal que afecte
a la vida privada del (…) expulsado, personaje público”, haciéndose eco los medios de
comunicación desde la primera resolución que le fue favorable. Una traslación parcial de la
información podía haberse interpretado como un sesgo a favor de la actuación de la, en
aquel momento nueva (...), ya que “no se pueden probar todas las irregularidades
detectadas”. La publicación en su integro contenido en los medios informáticos
pretendía la veraz información sobre lo ocurrido, acción proporcionada al fin perseguido,
de especial relevancia para los 900 socios, más de la mitad residen fuera de Ribadeo, e
interesados en las actividades del Club, que por ser en gran medida veraneantes que solo
residen un tiempo, no tenían fácil alcance de ser conocidas al ser publicadas en medios
locales y regionales.
7) “En la resolución que se nos traslada, no existe ni un solo dato personal que afecte a la
vida privada del denunciante”. No constan ni dirección domiciliaria, correo electrónico o
número de identificación personal. “La información que consta en la sentencia viene referida
en la prensa regional con amplio detalle”
8) “Esta (...) contacta con el técnico que mantiene la página y le pide que compruebe los
hechos y elimine cualquier acceso que pudiera haber quedado oculto a la sentencia”,
“encuentra el archivo de la sentencia en la biblioteca de medios por lo que el documento
aunque ya no era accesible desde la web, seguía estando disponible a través de enlaces
indexados en los buscadores, borrando el archivo de la carpeta.” “Ya no es accesible desde
los buscadores”. Considera que en el momento en que cancelaron de la web no tenia
conocimientos adecuado porque desconocía la existencia de la biblioteca de medios , y
aunque obraron de buena fe, no conocía ese aspecto, considerando que no concurre dolo.
Una llamada al Club podría haber conducido a la eliminación definitiva del archivo. “La
reapertura del expediente se produce por la pervivencia de un canal indirecto-Google- por el
que se seguía accediendo a la sentencia, debido a un error técnico., no a mala voluntad , y
al Club no le llegó notificación alguna del problema.
9) La entidad es una asociación deportiva, sin animo de lucro.
Aporta, además:
- Las noticias que resultan de los links señalados.
-Copia de “acciones en la web del reclamado” en la que se expone que se dio orden de
borrar el documento, que revisa la web y que se “había borrado de la web, la entrada en la
que aparecía dicho documento y hasta había eliminado de la papelera de entradas. Pero,
seguramente por desconocimiento en la materia, no había eliminado el documento de la
página de medios. Por lo que el documento, aunque no desde la web, seguía estando
disponible desde enlaces indexados en los buscadores” “Se procedió a la eliminación
inmediata de dicho documento de la zona de medios, siendo ya totalmente inaccesible”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/16
HECHOS PROBADOS
1) Con fecha 24/09/2019, el reclamante reclama contra el reclamado por figurar expuesta en
abierto en formato pdf, en su página web y en su Facebook, a 3/05/2019, una sentencia de
la (…) de ***FECHA.1 que contiene sus datos personales, manifestando además, que había
sido recurrida (…). La sentencia resuelve a instancia del reclamado el recurso sobre la
sanción de suspensión de la ***CONDICIÓN.1 de tres años con (…) que había sido
impuesta por el reclamado. El reclamante fue en el periodo ***PERIODO.1, ***PUESTO.1
del Club reclamado, y la sanción se origina porque la nueva (...) surgida de las elecciones de
noviembre XXXX detecta una serie de irregularidades que acaban en la sanción impuesta al
reclamado. La sentencia repasa las actuaciones del reclamante en distintos asuntos
relacionados con la gestión del Club (…), su repercusión con (…) del Club, y si aparece
justificada la sanción.
En la sentencia se hace identificable al entonces ***puesto.2 del Club, informando también
se le siguió expediente disciplinario.
2) Si bien tras el traslado de la reclamación al reclamado que hace la AEPD, señaló el
reclamado el 14/01/2020 que había anulado los enlaces de acceso al texto íntegro de
ambos enlaces, el reclamante acredita, introduciendo el 29/06/2020 en el buscador
GOOGLE las palabras “sentencia ***SENTENCIA.1” la devolución de la url
***URL.1, que se trata de pdf de 21 páginas con la sentencia objeto de reclamación.
3) Los medios de comunicación digitales (…) expusieron la noticia de la sentencia como
ejemplo, el ***FECHA.5 con el nombre del reclamante y el titular “(…)” y que el reclamante
expresa que la recurrirá (…). La noticia comenta diversos aspectos de la resolución judicial
conectados con la gestión del Club.
4) Tras la propuesta, la reclamada manifiesta que quitó el documento que posibilitaba el
acceso en el buscador.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo
sucesivo, RGPD); reconoce a cada autoridad de control, y según lo establecido en los ar-
tículos 47 y 48 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y ga-
rantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Es-
pañola de Protección de Datos es competente para iniciar y para resolver este procedimien-
to.
II
Sobre que no se notificó el acuerdo de inicio, existe en el expediente un certificado de la Fa-
brica Nacional de Moneda y Timbre que verifica su puesta a disposición, con respecto a una
entidad obligada a comunicarse con estos medios. También se acredita que en otras ocasio-
nes los envíos telemáticos se han producido al reclamado, y tampoco accedió a los mis-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/16
mos. El modo de envío de la propuesta se hizo con el fin de facilitar el conocimiento y defen-
sa de sus derechos para evitar de nuevo la no recogida del envío. El acuerdo de inicio notifi-
cado y el transcurso del tiempo sin acceder al mismo produce los efectos de haberse notifi-
cado.
En cuanto a la prescripción de la infracción, se toma como fecha final de la misma, y como
mas favorable al reclamado, ya que no aporta fecha de realización del borrado de datos, la
de la propuesta notificada, que sirve para la cesación de la infracción: 18/11/2021, y esta
infracción lleva un plazo de prescripción de tres años, de acuerdo al artículo de la LO-
PDGDD. Contando desde cualquier fecha, interposición de la reclamación: 24/09/2019, fe-
cha en que respondió al traslado, o la de 14/01/2020 en que manifestó que se habían elimi-
nado los datos, o desde la fecha de acuerdo de inicio del procedimiento sancionador,
24/03/2021, la infracción no se hallaría prescrita, al serle de aplicación el artículo 72.1.b) de
la LOPDGDD.
III
El RGPD define en su artículo 4:
1) «datos personales»: toda información sobre una persona física identificada o identificable
(«el interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un identificador
en línea o uno o varios elementos propios de la identidad física, fisiológica, genética,
psíquica, económica, cultural o social de dicha persona;”
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,
como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios
del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y
medios del tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;
El reclamado expone una sentencia integra con los datos de una persona, socio del Club al
que (…), y (…) del Club que figuró en dos espacios, la web y FACEBOOK del reclamado, si
bien a partir de 29/06/2020, solo remite a la web del reclamado cuando se hace una
búsqueda en el motor de búsqueda GOOGLE con los términos “sentencia ***SENTENCIA.1”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/16
La reclamada había manifestado en el traslado previo que había quitado los enlaces
cautelarmente a la sentencia.
Estos hechos suponen la comisión del reclamado de una infracción del artículo 6.1 del
RGPD que indican las bases legitimas para el tratamiento:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno
o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño.”
El reclamado, parte en el procedimiento judicial civil, instaura las medidas técnicas y
organizativas y decide como responsable posibilitar el acceso a la sentencia integra con
todos los datos personales al agregarla a su página web y en FACEBOOK. Probablemente
no se desindexó adecuadamente y se posibilita el acceso a través de motores de búsqueda,
arrojando el mismo literal que cuando existían los enlaces. La sentencia trata los datos del
reclamante en relación con la impugnación de la sanción disciplinaria impuesta por el
reclamado, asociación deportiva. La (...) del Club que sucedió a la del reclamante, detectó
una serie de irregularidades e incoó el citado expediente disciplinario. La sentencia repasa
las actuaciones del reclamante imputadas reprochándole sus conductas en la gestión de los
asuntos del Club. Alude al derecho de asociación y al ámbito privado disciplinario y a la
aplicación y legitimidad estatutaria del Club.
El reclamado es el que la expuso en abierto, no solo para los socios, la sentencia.
Aduce en el traslado de la reclamación que hubo en su día, como base legitimadora, el
artículo 6.1.f) del RGPD al considerar que debe prevalecer su derecho de información y
tiene interés legítimo en comunicar al público en general los hechos, (…), añadiendo que
días antes varios medios de comunicación escrita se habían hecho eco de la noticia
identificando al reclamante con los hechos.
Para ser legitimo el tratamiento de datos con base al interés legítimo, se deben cumplir tres
requisitos acumulativos, a saber, en primer lugar, que el responsable del tratamiento o el ter-
cero o terceros a los que se comuniquen los datos persigan un interés legítimo; en segundo
lugar, la necesidad del tratamiento de datos personales para la satisfacción del interés legíti-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/16
mo perseguido, y, en tercer lugar, el requisito de que no prevalezcan los derechos y liberta-
des fundamentales del interesado (sentencia de 4 de mayo de 2017, Rīgas satiksme, C-
13/16, EU:C:2017:336, apartado 28).
En este caso, la concurrencia de dos derechos fundamentales reconocidos en la
Constitución: el derecho fundamental a la protección de datos de carácter personal de las
personas cuyos datos aparecen recogidos en las resoluciones judiciales, principalmente el
reclamante y el derecho fundamental a la libertad de información de la asociación, del Club
que publica colisionan y el reclamado considera que ostenta el derecho a la citada
exposición. Sin embargo, la relevancia del cargo y responsabilidad del reclamante no es de
carácter público, es una asociación, de hecho la noticia es ofrecida en diarios locales,
tampoco es un asunto penal, sino civil que atañe a los socios del Club, y se ha de
cuestionar si dicha finalidad de informar puede ser factible sin exponer datos personales
contenidos en una sentencia en la que se ha sido parte reclamada y al mismo tiempo
instructor del disciplinario, y si ello es conforme con el principio de proporcionalidad y
adecuación en el uso de los datos.
Por otro lado, esta prevalencia entre derechos se debe fundar en excepciones a la
aplicación de las normas de protección de datos “sólo en la medida en que resulten
necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de
expresión y de información”. En este sentido, y expresándonos en la terminología
establecida en la LOPDGDD, las excepciones a la aplicación de dicha norma deben
entenderse como manifestaciones del principio de proporcionalidad, consagrado por el
artículo 5.1 c) de la Ley Orgánica, a cuyo tenor “Los datos de carácter personal sólo se
podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean
adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades
determinadas, explícitas y legítimas para las que se hayan obtenido”. Quiere ello decir, que
deberá considerarse lícita la divulgación de información que contenga datos de carácter
personal en los supuestos y ámbitos en que dicha revelación resulte adecuada, pertinente y
no excesiva en relación con el libre ejercicio de la libertad de información. De este modo, la
información a divulgar debería ser la que resulte necesaria para que informaciones que
revistan la relevancia a los intereses de la asociación puedan ser conocidas por sus
miembros, entendiendo relevancia pública como la que sirve al interés general en la
información y lo hace por referirse a un asunto público como hechos o acontecimientos que
afectan al conjunto de los ciudadanos.
No obstante aquí no se trata de expresar información o comunicar unos hechos que no se
discuten sean reales, sino un documento, la sentencia integra en abierto, con todos los
detalles, no aspectos o comentarios de la misma, que se exponen fuera del círculo de los
socios del Club, a los que les son aplicables los Estatutos, y en formato pdf que supone mas
versatilidad en el envió, descargas y reenvío. La información de la gestión de la asociación,
el quebranto de sus bienes o patrimonio afecta a los 900 asociados a dicha entidad, al
círculo al que alcanza la gestión de esos intereses y a ellos se podía haber informado del
sentido de la misma. La reclamada indica que como muchos de los socios no residen en el
municipio, y que la publicación integra contribuye a la objetividad de la información, siendo
motivos para que se exponga. No se discute que puede tener importancia y que son los
socios los que han de estar informado y podrían haber tenido conocimiento, si bien se podía
y se debía haber limitado el ámbito de exposición, conocimiento, solo a los asociados, no
existiendo necesidad de divulgación universal de la misma, en el citado formato. Con la
exposición de da a conocer los datos del reclamante en el ejercicio de sus funciones
privadas de la asociación y la información de su gestión que atañe a los asociados en una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/16
cuestión civil. No se cumple la proporcionalidad en el tratamiento para la finalidad de
informar a los socios y no se contemplan los derechos afectados del reclamante, por lo que
no puede acogerse la prevalencia del interés legítimo en la exposición en abierto de la
sentencia de lo civil integra y su consulta posible en el motor de búsqueda.
Por otro lado, que las actuaciones judiciales sean públicas, no justifica que esos datos
fueran revelados en un ámbito distinto al proceso judicial, y que se expongan además de
una forma completa fuera del ámbito en el que propiamente es el afectado y concernido por
las actuacio-nes del (…).
Ha sido el reclamado el que ha decidido incorporar a su web la copia de la sentencia efec-
tuando una operación técnica en la que ha posibilitado que cualquier persona pudiera tener
conocimiento de la sentencia integra con los datos del reclamante. Para ello, el reclamado
asoció la sentencia a su web, considerándose que el tratamiento automatizado por el que
ofrece en su web y a través del buscador la obtención de la sentencia es un tratamiento de
datos.
En el presente caso, además, la sentencia no era definitiva, estaba pendiente de su recurso.
El reclamado trata los datos del reclamante exponiendo la totalidad de la sentencia en su
web en abierto, no restringido a sus socios. En este caso, el ejercicio de información del
reclamado solo se relaciona con las facultades que representa, de sus asociados y la
gestión que se relaciona con estos. La prevalencia del derecho a la libertad de información
sobre el derecho de protección de datos debe interpretarse coherentemente con lo
dispuesto en la normativa de protección de datos, considerando esta excepción a la
aplicación de las normas de protección de datos solo en la medida en que resulten
necesarias para conciliar el derecho a la intimidad con las normas que rigen la libertad de
expresión e información. En tal sentido, para informar, en este caso se utiliza la sentencia
integra, tratando completamente todo lo relacionado con el asunto de manera no pertinente
y excesiva por una entidad que representa los intereses de un grupo, particulares, una
asociación no de carácter publico, y tratando los datos para todas las personas al disponer
el acceso universal en su web, no siendo un asunto penal sino interno disciplinario,
considerando que el tratamiento que tiene lugar a través de la incorporación y
automatización de la consulta en su web, no responde al esquema del articulo 6.1.f) del
RGPD al no prevalecer el derecho a conocer la sentencia integra por cualquier persona,
sobre el derecho del afectado a su intimidad, dados los amplios términos en que se
produce, no necesarios en su difusión universal cuando afectaba a los intereses y gestiones
de los asociados. El ***PUESTO.1 representa a la institución, tanto en ámbitos públicos
como privados, frente a personas físicas o jurídicas, privadas o públicas, lo que no significa
que sea u ostente de por si una representación publica como alega el reclamado. El derecho
fundamental del reclamante, a que sus datos no sean utilizados ni de forma sorpresiva, ni en
redes sociales, o web asociados a una sentencia integra con acceso para terceros debe
pues prevalecer a la exposición general obtenida de la búsqueda.
Por tanto, no se estima la alegación del reclamado de legitimación del tratamiento de datos
de la publicación de la sentencia integra del reclamante como facultativa en base a si interés
legítimo alegado
IV
El artículo 83.5 a) del RGPD, considera que la infracción de “los principios básicos para el
tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/16
9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Re-
glamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total
anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.”
El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los
siguientes poderes correctivos indicados a continuación:
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de
una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
La infracción figura tipificada en el artículo 72 de la LOPDGDD, que indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud
del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”
V
La determinación de las sanciones que procede imponer en el presente caso exige observar
las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, dispo-
nen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en
los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuan-
tía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/16
cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos
25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particu-
lar si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certi-
ficación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente,
a través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y
medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de
la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/16
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las
restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE)
2016/679.”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa
a imponer en el presente caso por la infracción del artículo 83.5.a) del RGPD, de la que se
responsabiliza al reclamado, se estiman concurrentes en calidad de agravantes los
siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del
reclamado:
-Artículo 83.2.a) RGPD: Naturaleza, gravedad y duración de la infracción teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido.
Originariamente, la sentencia íntegra, pese a la posibilidad de poderse recurrir, figuraba
expuesta a la vez en dos enlaces, la web y la página de FACEBOOK, no implementando a
la postre un eficaz mecanismo de eliminación de los datos.
-Artículo 83.2.b) RGPD. “Intencionalidad o negligencia en la infracción”: Aspecto que
relaciona la ejecución de la acción con el sujeto, en el sentido de, no solo imputabilidad de
la infracción a su responsable, sino el hecho de poder agravar o reducir la sanción según el
grado de culpabilidad. En cuanto a la imputabilidad al sujeto responsable, el principio de
culpabilidad, impide la admisión en el derecho administrativo sancionador de la
responsabilidad objetiva, si bien también es cierto, que la ausencia de intencionalidad
resulta secundaria ya que este tipo de infracciones normalmente se cometen por una
actuación culposa o negligente lo que es suficiente para integrar el elemento subjetivo de la
culpa. Lo que en este apartado se valora, es su análisis para la graduación de la sanción (art
40 LRJPAC), observando la especifica diligencia desplegada en la acción por el
responsable, lo que excluye la imposición de una sanción, únicamente en base al mero
resultado, es decir al principio de responsabilidad objetiva. La sucesión en las (...)s no exime
de la responsabilidad administrativas por las acciones producidas en las precedentes, ni
puede suponer un eventual cambio, un borrón en la exigibilidad de conductas que se han
producido y que se reconocen. Teniendo la reclamada la posibilidad de haber obrado de
modo distinto al que lo hizo, se trasladó la reclamación y no se eliminaron todos los enlaces
a la sentencia, acreditando falta de diligencia.
-Artículo 83.2.c) “cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados” No acertando a la eliminación
de los datos, se deduce que no disponía de medidas adecuadas y eficaces para eliminar los
datos.
Considerando los factores expuestos, la valoración que alcanza la multa por la infracción im-
putada es de 6.000 euros, sin perjuicio de lo que resulte de la instrucción del procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/16
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación
de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a REAL CLUB NÁUTICO DE RIBADEO, con NIF G27122514, por
una infracción del artículo 6.1 del RGPD, de conformidad con en el artículo 83.5 a) del
RGPD y el 72.1.b) de la LOPDGDD, una multa de 6.000 euros.
SEGUNDO: NOTIFICAR la presente resolución a REAL CLUB NÁUTICO DE RIBADEO.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez
que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida
nº ES00 0000 0000 0000 0000000, abierta a nombre de la Agencia Española de Protección
de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los
días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será
hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días
16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo
mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución
se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/16
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
938-26102021
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es