Multan a un partido político de Jaén por enviar correos masivos sin copia oculta

La Agencia Española de Protección de Datos (AEPD) ha acordado sancionar al partido político Jaén Sentido y Común (JSC) con 2.000 euros de multa por enviar un correo electrónico a 241 personas con sus direcciones visibles y sin haber solicitado autorización previa a alguno de los destinatarios. Fue uno de ellos el que alertó de esta circunstancia después de que se pusiese en contacto con la formación política para que le informasen sobre el tratamiento de los datos personales y no recibir contestación al respecto.

En la resolución de la AEPD, a la que ha tenido acceso este periódico, se explica que el reclamante colaboró con el grupo municipal durante "el proceso de candidaturas para la alcaldía en la que concurrían varias organizaciones políticas", por lo que se intuye que fue fruto de esta relación previa por lo que JSC disponía de email y "sospecha que se podría haber producido un tratamiento o cesión de datos sin su autorización".

TE PUEDE INTERESAR

España impone casi el 50% de las multas en Europa por protección de datos

Pedro del Rosal

Esta persona expuso que el 26 de septiembre de 2021 recibió un correo electrónico remitido a 241 destinatarios "con las direcciones de todos ellos visibles", sin haber hecho uso de la función "con copia oculta (CCO)". En el mismo se convocaba a una "asamblea abierta" de Jaén Sentido y Común que debía celebrarse cuatro días más tarde.

El 28 de septiembre se dirigió a la formación política solicitando que acreditase la autorización para la utilización de su email para recibir estas comunicaciones y posteriormente pidió la vía de contacto con el Delegado de Protección de Datos (DPD). El requirente, según precisó en su escrito de reclamación, recibió "una contestación evasiva" y el partido le informó de que procedía a la eliminación de su dirección de correo electrónico de su lista de contactos. Este paso no le contentó e incidió en que no había recibido respuesta a su petición de información sobre el tratamiento realizado con su correo electrónico.

El organismo fiscalizador considera que se revelaron datos personales a terceros

Por esta circunstancia decidió presentar una reclamación ante la Agencia Española de Protección de Datos y aportó como prueba una "copia del correo electrónico remitido donde figuran 241 destinatarios con las direcciones de todos ellos visibles". Se admitió a trámite y el pasado 18 de marzo se acordó iniciar proceso sancionador a Jaén Sentido y Común.

"La documentación obrante en el expediente ofrece indicios evidentes de que la parte reclamada vulneró el artículo 5 del Reglamento General de Protección de Datos (RGPD) —relativo al tratamiento, protección y seguridad de la información personal— al revelar a terceros datos de carácter personal", ya que se considera probado que se remitió una convocatoria de asamblea sin copia oculta. "Ello, por carecer de las medidas adecuadas de seguridad", como puede ser "el cifrado de datos personales".

Opinión

TE PUEDE INTERESAR

La protección de datos del estudiante en prácticas

Raquel Sánchez Rodríguez

El análisis del caso, según la AEPD, revela que "no consta acreditado" que la formación política adoptara las disposiciones técnicas y organizativas adecuadas conforme a lo exigido en la normativa, pues "se revela información y datos de carácter personal a terceros, con la consiguiente falta de diligencia por el responsable".

Con base en estas conclusiones, se acuerda imponerle dos sanciones. Una grave de 500 euros por supuestamente no garantizar un nivel de seguridad adecuado al riesgo; y otra de 1.500, considerada muy grave, por no adoptar iniciativas que aseguren la protección contra el tratamiento no autorizado o ilícito de los datos personales y contra su pérdida.

La AEPD considera que JSC incurrió en dos infracciones consideradas 'grave' y 'muy grave'

Además de estos 2.000 euros de multa en total, el organismo fiscalizador instaba a JSP a configurar el envío de correos de forma que se puedan remitir con copia oculta cuando se dirija a una pluralidad de interesados. Esto debía ser acreditado en un plazo de diez días hábiles para confirmarse el cese de la conducta infractora.

"Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva", concluye la resolución, contra la que se puede interponer recurso de reposición ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional.