En la resolución de la AEPD se sanciona a una agencia de publicidad por el incumplimiento de los principios del RGPD.
La parte reclamante denunció ante la AEPD que la agencia reclamada trataba sus datos personales (nombre, apellidos, NIF, teléfono y correo electrónico) sin existir relación contractual ni haber prestado consentimiento. La reclamación se originó tras recibir un correo en el que la reclamada le informaba de un incidente de seguridad que afectó a sus datos y que habían sido obtenidos a través de la consulta al servicio de la Lista Robinson para evitar el envío de comunicaciones comerciales.
La investigación acreditó que los datos fueron remitidos a la agencia publicitaria por ADIGITAL en 2018, a través de una solicitud de revocación de consentimiento iniciada por la propia reclamante mediante el servicio de la Lista Robinson. No obstante, en agosto de 2022, la entidad sufrió una brecha de seguridad que comprometió los datos personales de más de 80.000 personas. La AEPD constató que la entidad no notificó adecuadamente la violación ni a la autoridad ni a los afectados en los plazos legales, e identificó deficiencias graves en las medidas técnicas y organizativas de seguridad.
Como resultado, la AEPD declaró la existencia del incumplimiento del artículo 5.1.f) RGPD que regula el principio de integridad y confidencialidad, del artículo 33 RGPD por la falta de la notificación de la brecha de seguridad a la autoridad de control y del artículo 34 RGPD por comunicar a los interesados fuera de plazo.
La AEPD puede investigar documentos generales de privacidad si están relacionados con los hechos reclamados, para detectar deficiencias y sancionar adecuadamente.