1/14 Expediente N.º: EXP202315571 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 9 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a QUIRÓN PREVENCIÓN, S.L.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202315571 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 05/10/2023, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra QUIRÓN PREVENCIÓN, S.L.U. con NIF B64076482 (en adelante, QUIRÓN PREVENCIÓN), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, como consecuencia de la denuncia que presentó ante la Inspección de Trabajo y Seguridad Social por posibles situaciones de hostigamiento hacia ella en el ámbito laboral, se siguió un proceso de mediación entre la parte reclamante y otros trabajadores implicados en los hechos; donde se les informó de que se iban a proteger los datos personales debido a la gravedad de las acusaciones. Cuando se trasladó el informe final de mediación por QUIRÓN PREVENCIÓN, los datos personales de la parte reclamante y de los denunciados se mostraban (se aprecian borrosos, pero se pueden leer). No obstante, cuando la parte reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 advirtió al responsable del informe sobre esta situación, los datos personales sí aparecían tachados. Por último, la parte reclamante indica que el proceso está judicializado, pero considera nefasta la gestión que ha hecho QUIRÓN PREVENCIÓN de sus datos personales. Junto a la reclamación aporta, entre otros, los siguientes documentos: Copia del informe de mediación emitido en fecha ***FECHA.1 por QUIRÓN PREVENCIÓN con sus anexos (Informe de MEDIACIÓN COMO ASESORES EXTERNOS EN SITUACIONES DE INDICADORES DE RIESGO PSICOSOCIAL POR CONFLICTO INTERNO EN EL LUGAR DE TRABAJO). En su contenido figuran los siguientes datos personales de la parte reclamante y de los denunciados (nombre y apellidos, DNI, número de móvil y correo electrónico): o Parte reclamante: A.A.A., DNI ***NIF.1, ***TELÉFONO.1, ***EMAIL.1. o Partes denunciadas: B.B.B., DNI ***NIF.2, ***TELÉFONO.2, ***EMAIL.2. C.C.C., DNI ***NIF.3, ***TELÉFONO.3, ***EMAIL.3. Captura de pantalla de los siguientes correos electrónicos: o Correo electrónico enviado en fecha ***FECHA.2 por la parte reclamante (***EMAIL.1) a los servicios de mediación de QUIRÓN PREVENCIÓN (***EMAIL.4) advirtiendo que se reflejan datos personales en el informe final de mediación. Su contenido es el siguiente: (…). o Correo electrónico de fecha ***FECHA.3 enviado por QUIRÓN PREVENCIÓN (***EMAIL.4) a, entre otros, la parte reclamante con 3 documentos PDF relativos a “Informe de Mediación”, “Acta inicio” y “Acta final XXXXX”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 03/11/2023 se dio traslado de dicha reclamación a QUIRÓN PREVENCIÓN, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 03/11/2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Con fecha 04/12/2023 se recibe en esta Agencia escrito de respuesta de QUIRÓN PREVENCIÓN en el que, en síntesis, reconoce haber enviado un correo electrónico en fecha 02/11/2023 al personal técnico de su entidad y a las partes interesadas y participantes en la mediación laboral, con el informe final de mediación en cuyo contenido figuran datos personales de los participantes. Asimismo, QUIRÓN PREVENCIÓN señala que las partes que intervinieron en la mediación “aceptaron el proceso de mediación formalmente y fueron expresamente informadas no solo del objeto de la mediación, sino de sus obligaciones en materia de confidencialidad”. Por tanto, las partes intervinientes quedan sujetas a no “revelar la información que hubiera podido obtener derivada del procedimiento”. Junto al escrito aporta copia del Informe Final de Mediación con sus anexos. TERCERO: Con fecha 28/12/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad QUIRÓN PREVENCIÓN, S.L.U. es una gran empresa constituida en el año 2006, perteneciente al Grupo económico HELIOS HEALTHCARE SPAIN, S.L. y con una cifra de negocios de casi 400.000.000 euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que QUIRÓN PREVENCIÓN realiza la recogida, utilización y conservación de, entre otros, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 siguientes datos personales de personas físicas: nombre y apellidos, DNI, número de móvil y correo electrónico. QUIRÓN PREVENCIÓN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la integridad y confidencialidad de los datos personales se garantiza en el apartado 1 letra
- f)del citado artículo. Por su parte, la seguridad de los datos personales viene regulada en el artículo 32 del RGPD, que reglamenta la seguridad del tratamiento. III Principio de integridad y confidencialidad El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que, con fecha ***FECHA.1, QUIRÓN PREVENCIÓN remitió un correo electrónico a la parte reclamante con una copia del Informe final de mediación laboral y sus anexos en el que figuraban sus datos personales y los de los denunciados, como nombre y apellidos, DNI, número de móvil y correo electrónico. Por su parte, QUIRÓN PREVENCIÓN reconoció en su contestación al traslado haber enviado el mencionado correo electrónico, pero solo a su personal técnico y a las partes intervinientes en el proceso de mediación laboral, estando obligadas las mismas a guardar secreto y garantizar la confidencialidad de los mismos. No obstante, resulta evidente que QUIRÓN PREVENCIÓN en el informe emitido expuso indebidamente determinados datos personales de, entre otros, la parte reclamante y los denunciados, al no aparecer anonimizados sus DNI, números de móvil o correos electrónicos en el envío realizado. Ello supone una vulneración de la obligación de la entidad reclamada de garantizar la confidencialidad de los datos, poniendo en conocimiento de las partes intervinientes los datos personales anteriormente citados. Asimismo, la documentación que obra en el expediente administrativo ofrece indicios suficientes para entender que QUIRÓN PREVENCIÓN carece de las medidas técnicas y organizativas apropiadas a las que se refiere el artículo mencionado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a QUIRÓN PREVENCIÓN, por vulneración del artículo 5.1.
- f)del RGPD. IV Tipificación y calificación de la infracción del artículo 5.1.
- f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
- f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V Propuesta de sanción por la infracción del artículo 5.1.
- f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a). La conducta infractora es grave C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 puesto que acarrea una pérdida de confidencialidad y, por tanto, de disposición y control irremediable sobre los datos personales de los afectados, que no es únicamente la parte reclamante, sino también los dos denunciados. La intencionalidad o negligencia en la infracción (apartado b). La negligencia apreciada en la comisión de la infracción, considerando que existe un conflicto entre los afectados derivado de una situación de hostigamiento en el ámbito laboral hacia la parte reclamante, siendo más necesario aún evitar que en estos procesos las partes tengan acceso a los datos personales del resto. Las categorías de los datos de carácter personal afectados por la infracción (apartado g). El Informe final de mediación laboral contiene el dato personal relativo al DNI de, entre otros, la parte reclamante. Este dato se considera particularmente sensible en tanto en cuanto, si el tratamiento de este dato no va acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con los riesgos que ello entraña para la privacidad, el honor y el patrimonio del suplantado. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b). La actividad de QUIRÓN PREVENCIÓN requiere un tratamiento habitual de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
- f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 30.000€ (treinta mil euros). VI Seguridad del tratamiento El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- a)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14
- b)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- c)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos eel apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, el envío del Informe final de mediación laboral y sus anexos mediante correo de ***FECHA.1 a la parte reclamante sin anonimizar los datos de los intervinientes evidencia una falta de medidas por parte de QUIRÓN PREVENCIÓN. Es más, la propia entidad reclamada es consciente de la irregularidad de la comunicación de datos, ya que un día después de la advertencia de la parte reclamante la entidad envío de nuevo el informe de mediación con los datos tachados. Por otra parte, QUIRÓN PREVENCIÓN no ha acreditado las medidas de seguridad con que cuenta para evitar que los documentos que redactan recojan datos personales de los intervinientes en los procesos sin anonimizar. Como responsable del tratamiento debería tener implantadas medidas de seguridad y asegurar su cumplimiento, extremo que no consta en esta Agencia hasta el momento. En consecuencia, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a QUIRÓN PREVENCIÓN, por vulneración del artículo 32 del RGPD. VII Tipificación y calificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679”. (…) VIII Propuesta de sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a). No tener implantadas las medidas de seguridad apropiadas al riesgo dio lugar a un acceso indebido a los datos personales, no solo de la parte reclamante, sino también de los otros denunciados. La intencionalidad o negligencia en la infracción (apartado b). La negligencia apreciada en la comisión de la infracción, considerando que existe un conflicto entre los afectados derivado de una situación de hostigamiento en el ámbito laboral hacia la parte reclamante, siendo más necesario aún evitar que en estos procesos las partes tengan acceso a los datos personales del resto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 Las categorías de los datos de carácter personal afectados por la infracción (apartado g). El Informe final de mediación laboral contiene el dato personal relativo al DNI de, entre otros, la parte reclamante. Este dato se considera particularmente sensible en tanto en cuanto, si el tratamiento de este dato no va acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con los riesgos que ello entraña para la privacidad, el honor y el patrimonio del suplantado. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b). La actividad de QUIRÓN PREVENCIÓN requiere un continuo tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
- f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 20.000€ (veinte mil euros). IX Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal caso, en la resolución que se adopte, esta Agencia podrá requerir a la entidad responsable para que, en el plazo en el plazo de dos meses, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho del presente acuerdo y sin perjuicio de lo que resulte de la instrucción. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a QUIRÓN PREVENCIÓN, S.L.U., con NIF B64076482, por: La presunta infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. La presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD. SEGUNDO: NOMBRAR como instructor/a a D.D.D. y, como secretario/a, a E.E.E., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería: Por la supuesta infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 30.000€ (treinta mil euros). Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 20.000€ (veinte mil euros). QUINTO: NOTIFICAR el presente acuerdo a QUIRÓN PREVENCIÓN, S.L.U., con NIF B64076482, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000€ (cuarenta mil euros), resolviéndose el procedimiento con la imposición de esta sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000€ (cuarenta mil euros), y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 30.000€ (treinta mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (40.000€ o 30.000€) deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-050724 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 >> SEGUNDO: En fecha 24 de septiembre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 30.000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202315571, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a QUIRÓN PREVENCIÓN, S.L.U. para que en el plazo de 2 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a QUIRÓN PREVENCIÓN, S.L.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-151024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es