La parte reclamante manifestó en su escrito de reclamación que los datos de su número de apartamento y el importe de las deudas contraídas con la comunidad de vecinos se había expuesto en el tablón de anuncios, al que podía acceder cualquier persona que entrara en el edificio. Para ello se aportó como documentación relevante una fotografía del tablón de anuncios donde aparecen sus datos personales.

La AEPD sancionó a la Comunidad de bienes con una multa administrativa de 1.000€ por la vulneración de dos artículos de la normativa:

• Infracción del artículo 5.1.f (RGPD); los datos se han de tratar garantizando una seguridad adecuada para evitar un tratamiento no autorizado garantizado la integridad y confidencialidad.
• Infracción del artículo 32 (RGPD); el responsable del tratamiento no aplicó las medidas de seguridad adecuadas para garantizar la confidencialidad de los datos personales tratados por la Comunidad de propietarios.

IMPORTANTE

La AEPD en su escrito de reclamación ordena a la Comunidad de propietarios que retire el documento del tablón de anuncios y que disponga de un procedimiento para comunicar anuncios según la Ley de Propiedad Horizontal

La entrada Sancionada una Comunidad de propietarios por publicar datos personales de morosos en el tablón de anuncios se publicó primero en Adaptación RGPD.

La reclamante interpuso una reclamación ante la AEPD indicando que en su página web no tenía Aviso Legal, además, la Política de Privacidad de la página no era correcta y no existía Política de cookies.

La AEPD admitió a trámite la reclamación y constató la siguiente información de la página web sancionada:

1º) En la Política de Privacidad de la página web no se está informando debidamente, puesto que no identifica correctamente al responsable del tratamiento de los datos personales. Para obtener más información, la página web te indica un correo electrónico de contacto. En este caso la sanción por incumplimiento del art.13 “Deber de informar” ascendió a 5.000€

2º) En la página web se instalan cookies no necesarias al entrar por primera vez en la web sin aceptar cookies y sin realizar ninguna acción. El banner informativo no permite rechazar las cookies y tampoco se permite realizar la gestión de cookies de forma granular o por grupos a través de un panel de control. Tampoco existía información en el banner de cookies referente a las finalidades de las cookies. La sanción ascendió a 5.000€

IMPORTANTE

Se considera una infracción muy grave la omisión del deber de informar al interesado acerca del tratamiento de sus datos personales.

La entrada Sancionada una página web con 10.000€ por no tener la Política de privacidad y Política de cookies adecuada se publicó primero en Adaptación RGPD.

La parte reclamante denunció la recepción de un correo electrónico publicitario remitido por el reclamado a múltiples destinatarios sin utilizar la función de copia oculta. Se le solicitó, además, que se le diera de baja para recibir más correos electrónicos.

La Subdirección General de Inspección de Datos realizó las actuaciones previas de investigación para esclarecer los hechos. Se envió un requerimiento al reclamado el cuál alegó que se trataba de un error humano.

La AEPD desestimó dichas alegaciones, ya que las medidas de seguridad deben adoptarse en atención a todos y cada uno de los riesgos presentes en el tratamiento de datos de carácter personal, incluyendo entre estos riesgos, el factor humano. El envío del correo electrónico sin copia oculta supone un quebrantamiento de las medidas técnicas y organizativas vulnerando la confidencialidad de los datos.

Se ha vulnerado, por lo tanto, el art.5.1. f del principio del deber de confidencialidad y el art.32 de la seguridad del tratamiento, puesto que se ha producido un incidente de seguridad al remitir el correo electrónico a un número elevado de destinatarios, sin la función de copia oculta.

El responsable y el encargado del tratamiento han de aplicar las medidas técnicas y organizativas adecuadas, teniendo en cuenta la técnica, los costes de aplicación, y finalidad del tratamiento.

IMPORTANTE

Se considera una infracción muy grave el tratamiento de datos sin aplicar los principios generales del tratamiento, tales como el de licitud, lealtad y transparencia

La entrada Sancionado un autónomo con 1.500€ por enviar correos electrónicos comerciales sin copia oculta se publicó primero en Adaptación RGPD.

La parte reclamante manifiesta que la empresa reclamada había contactado con él telefónicamente de manera reiterada para ofrecerle sus servicios inmobiliarios. En varias ocasiones les solicitó que borraran sus datos.

En el escrito se adjuntan pruebas de los mensajes y llamadas recibidas en su teléfono. En uno de los mensajes le indican que “no volverían a contactar con ella”, no siendo así, ya que continuó recibiéndolos.

La AEPD en esta reclamación no está valorando los mecanismos para solicitar la supresión de los datos, sino la falta de diligencia debida por parte de la entidad ante la solicitud de la supresión de los datos personales de la afectada.

Se le aplican los siguientes criterios de atenuación:

– Medidas tomadas por el responsable. No constan nuevos tratamientos de datos ilícitos por parte de la entidad.

– Circunstancias actuales de la empresa influenciadas por la situación social.

– Inexistencia de beneficios obtenidos como consecuencia de la comisión de la infracción.

IMPORTANTE

El responsable del tratamiento tiene que contestar a los derechos solicitados sin dilación indebida, y, en cualquier caso, en el plazo de un mes a partir de la recepción.

La entrada Inmobiliaria sancionada con 10.000 euros por no contestar a un derecho de supresión se publicó primero en Adaptación RGPD.

El afectado envió un escrito de reclamación a la AEPD a través de su sede electrónica de reclamaciones ordinarias. En este escrito, manifestaba que contactó con la empresa a través del teléfono que constaba en el anuncio y envió su currículum vitae por la aplicación de mensajería de WhatsApp.

Junto a la reclamación aporta la captura de pantalla de móvil con la conversación a través de WhatsApp. En este sentido, la AEPD recomienda, que para que la reclamación se resuelva de forma exitosa y reducir los plazos de tiempo, se aporten todos aquellos documentos que sirvan para probar los hechos reclamados.

 En ningún momento el afectado fue informado sobre el tratamiento de sus datos personales incumpliendo el art.13 del RGPD. En este artículo, se indican todos los aspectos relativos al tratamiento de datos personales que han de conocer los interesados en el momento de la recogida de sus datos. El responsable del tratamiento debe facilitar esa información de una forma clara y sencilla para que el interesado conozca la identidad del responsable, los datos del DPD en su caso, los fines del tratamiento y la base jurídica entre otros aspectos.

IMPORTANTE

Cuando el responsable trate por primera vez los datos personales del interesado tiene que poner a su disposición toda la información en materia de protección de datos.

La entrada Sanción de 2.000 € por incumplir con el deber de informar en una oferta de un puesto de trabajo. se publicó primero en Adaptación RGPD.

La AEPD recibe una reclamación por parte de un ciudadano que considera que se han tratado sus datos personales de forma ilícita por parte de la empresa de paquetería. El reclamante realizó una solicitud de servicio a la empresa reclamada para que recogieran un paquete, para ello, puso como punto de recogida la dirección de su trabajo, aunque el pago y el correo lo hizo desde su correo personal.

La actuación fraudulenta, por parte de la empresa de transporte, tiene lugar, porque desde el departamento de administración consideraron que el servicio se había hecho por parte de su cliente (empresa donde trabaja el reclamante), al ver la dirección de recogida, y no por el particular (reclamante). Por ello, envían una factura con los datos personales del reclamante al departamento de contabilidad de la empresa cliente.

Se considera que la empresa de transporte ha infringido el principio de exactitud de los datos del art.5 del RGPD. No se adoptaron medidas razonables para que se suprimieran o modificaran los datos personales inexactos. La multa ascendió a 10.000 euros.

IMPORTANTE

Las empresas deben realizar políticas de protección de datos que apliquen los principios relativos al tratamiento del RGPD.

La entrada Sancionada con 10.000 euros una empresa de transporte por incumplimiento del principio de exactitud de datos se publicó primero en Adaptación RGPD.

La AEPD inicia el procedimiento sancionador por la reclamación presentada por una persona al fijarse que la página web visitada no tenía una política de privacidad adecuada a la normativa de protección de datos.

En concreto, la afectada indica que al querer enviar una reclamación al titular de la web no había modo alguno de realizarlo, puesto que no existía teléfono y el email facilitado no funcionaba correctamente ya que devolvía los correos enviados. La reclamante facilita en su escrito de reclamación una copia a la AEPD de los textos legales que se encuentran en la página. Estos textos hacían referencia a la antigua ley de protección de datos.

Los formularios de la página web sancionada incluían la recogida de datos personales incluidos en su caso datos bancarios.

La AEPD determina que no se proporciona una información clara y adecuada al usuario. Además, se tienen en cuenta como agravantes, la negligencia en la infracción, la forma en que la AEPD conoce la infracción a través de una reclamación y por ultimo la falta de cooperación con la AEPD para poner remedio a la situación. La multa ascendió a un total de 10.000 euros.

IMPORTANTE

Las páginas web que contengan formularios deben incluir políticas de privacidad claras, concisas y conforme al RGPD.

La entrada Página web sancionada con 10.000 euros por no incluir la política de privacidad RGPD se publicó primero en Adaptación RGPD.

El reclamante manifiesta que sus datos de carácter personal y económicos han sido expuesto ante terceros, puesto que la notificación se realizó en el tablón de anuncios.

Ante la AEPD llegan las alegaciones de la comunidad de propietarios, la cual manifiesta, qué además de la publicación en el tablón correspondiente se realizó mediante burofax no siendo recogido por el deudor.

La AEPD estima que la comunidad no actuó correctamente, por un motivo de falta de cumplimiento de plazos, ya que el cartel anunciando la convocatoria que contenían la deuda y los datos personales se hizo antes de que transcurriera el plazo para recoger la notificación.

La sanción que se le pide a la comunidad es de apercibimiento, lo que implica, que en el plazo de un mes tiene que acreditar ante la AEPD el cumplimiento de que procede con todas las medidas necesarias para que el reclamado actúe de conformidad con los principios del art.5.1. f del RGPD; principio de integridad y confidencialidad.

Este tipo de sanciones hacen ver de la necesidad que tiene los responsables de tener un protocolo adecuado en protección de datos.

IMPORTANTE

Los requerimientos que la AEPD solicita al responsable en las sanciones de apercibimiento deben realizarse en el plazo máximo de un mes.

La entrada Comunidad de propietarios sancionada por notificar deudas en el tablón de anuncios. se publicó primero en Adaptación RGPD.

Los hechos reclamados tienen lugar cuando una usuaria del comercio reclamado accede a su cuenta y los datos personales que le aparecen no son los suyos sino los de otros clientes. Al ponerse en contacto con el comercio no obtiene respuesta, por lo que presentó una reclamación ante la AEPD.

En el proceso de investigación, la AEPD solicita a la reclamada que le envíe en el plazo de un mes la siguiente información:

1. La decisión adoptada.
2. Acreditación de la respuesta al ejercicio de derechos.
3. Informe sobre las causas que han motivado la incidencia.
4. Informe sobre las medidas adoptadas para evitar situaciones similares.

No se recibió contestación alguna por parte del comercio online, por lo que fue sancionado con 1.000 euros por vulnerar el art.5 de la LOPDGDD del deber de confidencialidad, ya que, expuso a la vista de terceros datos personales de otros usuarios y con una sanción de 2.000 euros por la infracción del el art. 32 del RGPD por no aplicar debidamente las medidas técnicas y organizativas adecuadas para garantizar la seguridad del tratamiento.

IMPORTANTE

Se considera una infracción grave la quiebra de seguridad como consecuencia de la falta de la debida diligencia en la aplicación de las medidas adecuadas.

La entrada Comercio online sancionado por no aplicar medidas de seguridad para garantizar la confidencialidad de los datos se publicó primero en Adaptación RGPD.

El reclamante notifica que, hasta en dos ocasiones, la abogada reclamada, había realizado la convocatoria a una junta de propietarios, utilizando para ello papel reutilizado, en el cual constaban los datos de procedimientos en los que ella había trabajado. En el reverso del papel, se podían leer los nombres y apellidos de varias personas, entre ellas la de un menor de edad.

La AEPD dio traslado de la reclamación, no obteniendo respuesta alguna por parte de la reclamada. No presentó alegaciones ni pruebas que contradijeran los hechos denunciados.

La reutilización de los documentos en cuyo reverso aparecían los datos de terceros, se realizó sin el consentimiento de éstos. La AEPD determinó en su resolución que los hechos son constitutivos de una infracción del art. 32 del RGPD, ya que en este artículo se señala que “el responsable y encargado del tratamiento deben aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado”. La reclamada no tuvo en cuenta la aplicación de medidas para garantizar la confidencialidad de los datos personales. La sanción económica impuesta ascendió a los 2.000 euros.

IMPORTANTE

El responsable del tratamiento debe realizar un análisis de riesgos del tratamiento para aplicar las medidas técnicas y organizativas adecuadas.

La entrada Sancionada una abogada por reutilizar papel con datos personales de terceros se publicó primero en Adaptación RGPD.