Generado con IA
Esta resolución nos recuerda a otra de diciembre de 2022 titulada: “En protección de datos si la AEPD te pide documentación debes colaborar o serás sancionado (3.000€)” en la que comentábamos que si la Agencia de Protección de Datos (AEPD), en virtud de sus poderes y funciones, tras una reclamación te pide colaboración y respuestas, debes colaborar y sobre todo, no obstaculizar la misma.
En este caso la sanción deriva de la doble infracción del art. 6 del RGPD por carecer de base de legitimación para el tratamiento de datos (no, no le valió decir que lo obtuvo de “fuentes de acceso público”) y del art. 17 RGPD al no ser atendido el derecho de supresión solicitado, imponiendo una multa de 10.000€ por cada uno.
La denuncia fue la siguiente:
La reclamante indica que una Inmobiliaria le contactó telefónicamente y que en la conversación vio que conocían sus datos personales e incluso tenían identificada su vivienda, indicándole que los datos los han obtenido de un tercero.
Además, tras solicitar cancelar sus datos, le piden que antes le remita su DNI.
La Agencia solicita a la reclamada información para que la aporte en un plazo de 10 días, pero no la aporta y le responde desafiante.
Destacar que la sancionada ya lo fue en junio pasado con similares argumentos e idéntico resultado (20.000€) por las mismas infracciones art. 6 y 17 del RGPD.
La información solicitada por la Agencia fue:
- Relación completa de los datos de que disponen del afectado.
- Origen de cada uno de los datos, detallando el consentimiento o la habilitación legal de que disponen para realizar tratamientos y la fecha en que fueron recabados.
- Detalle de las cesiones o comunicaciones de datos a terceras entidades, indicando para cada cesión, la fecha, el consentimiento del titular de los datos o la habilitación legal y en especial la información del Encargado del tratamiento al que cedió los datos.
El reclamado le dice a la Agencia que tiene dudas sobre la identidad del reclamante quien debe aportar su DNI, pero no responde a las cuestiones que la AEPD le requirió e insiste en su incompetencia.
LA AEPD envía a 2 inspectores con poco éxito
Los 2 inspectores se presentaron en la sede de la reclamada (algo inusual) que parece ser un centro de negocios y le dicen que la reclamada les ha dicho que había informado a la Agencia para cancelar la inspección y se niegan a dar más datos a los inspectores.
La Agencia envía por correo certificado un aviso de inspección y le responden que no permitirán la entrada a los inspectores lo que para la AEPD es “claramente una actitud obstruccionista a la actuación inspectora”.
Luego, tras iniciar procedimiento sancionador, el reclamado responde a la Agencia, pero no lo que ésta le solicitó, indicando, de manera resumida, lo siguiente:
- Que no existe infracción alguna, del escaso valor probatorio de las pruebas aportadas, que no ha existido obstrucción a la labor inspectora y solicita el archivo del procedimiento.
- Habla de falta de transparencia de la Agencia y que el cargo de la Directora esta caducado.
- Que los datos fueron obtenidos de fuentes accesibles al público no siendo necesario el consentimiento.
Posteriormente remite otro escrito a la Agencia indicándole que le facilite la fotocopia del DNI del reclamante o en su caso la denuncia del mismo.
La AEPD hace propuesta de sanción de 20.000€ por infracción de los art. 6 y 17 RGPD y desmonta los argumentos de la caducidad del cargo de la Directora de la Agencia
La reclamada presenta nuevo escrito de alegaciones ratificando las formuladas y, además que el cargo de la Directoria de la AEPD estaba caducado al haber transcurrido el plazo de 5 años para el cual fue nombrada.
A esta cuestión, la Agencia le recuerda lo señalado por la Audiencia Nacional en Sentencia de 09/12/2022, y le recalca que no hubo cese de la Directora y que “en el nuevo Estatuto de la AEPD, para evitar estas especulaciones, se establece expresamente que la persona titular de la Presidencia continuará en funciones hasta la toma de posesión del nuevo titular de la Presidencia”.
La Agencia, respecto a la falta de colaboración le recuerda que “el responsable y el encargado del tratamiento los datos de carácter personal tienen la obligación de facilitar los documentos, informaciones y cualquier otra colaboración que se precise para realizar la función de inspección. El incumplimiento de esa obligación podría comportar la comisión de la infracción tipificada en el art. 72.1.ñ) de la LOPDGDD”
En definitiva: ¿Qué es lo que sanciona la Agencia?
Que el reclamado no ha acreditado base de legitimación alguna de las prevista en el artículo 6.1 del RGPD para el tratamiento de los datos personales del reclamante, ya que el concepto de “fuentes de acceso público” al contrario de lo señalado en la antigua LOPD, no figura en el vigente RGPD como base legitimadora.
Además, al ceder los datos, por los que facturó a ese tercero que hizo la llamada, para la Agencia se demuestra que “no tuvo empacho en hacer negocio con esa mercantil, a la vista de la factura emitida, con los datos de aquel”.
La Agencia le indica que “Si como dice lo obtuvo de registros públicos, es decir, de fuentes de acceso público, en virtud de lo manifestado por el reclamado, no se comprobó tampoco la identidad.”
En definitiva, no acredita la proporcionalidad en denegar la petición del derecho de supresión y supone una obstaculización del ejercicio del derecho de supresión el solicitar el DNI.
Además, la agencia indica que esto es así, porque no se pueden exigir para el ejercicio de derechos, mayores formalidades que las que se siguieron para obtener tales datos.
Conclusiones a extraer de la presente resolución
- Ante un procedimiento sancionador de la AEPD no te pongas borde y colabora.
- Si dices que tratas datos de “fuentes de acceso público”, deberás acreditarlo.
- No solicites un DNI para responder ante un derecho si no es necesario
- Y sobre todo, no obstaculices ni generes alegaciones que no puedas sostener, y cuando la Agencia te pida información, recuerda que espera respuesta a las mismas.
Enlace a la resolución sancionadora de fecha 06/10/2023
Artículo publicado por:
Rafael Varela
EUROVIMA CONSULTING
