PS-00001-2025

(361). Remitente: ***REMITENTE.1. Destinatario: 900- SENDING. - Intercambio de correos entre la parte reclamante y ***EMAIL.2 de 18 y 20 de febrero de 2023 en la que ING solicita el reenvío de la documentación, al no haberlo recibido, a lo que el reclamante contesta manifestando su disconformidad con la situación, reiterando la cronología de lo ocurrido y solicitando aclaración sobre el extravío de sus datos personales. A continuación, se reproduce el correo electrónico enviado por ING a la parte reclamante el 18 de febrero de 2023 a las 9.28 horas: “Nos ponemos en contacto contigo en relación con tu solicitud de dar de alta un nuevo interviniente en tu cuenta nómina/naranja/mini. Hemos comprobado que no nos consta haber recibido el formulario de alta de nuevo interviniente. Por este motivo, y para poder continuar con el proceso, es necesario que nos lo vuelvas a enviar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/43 Tienes disponible este formulario en nuestra web desde tu área personal, en la opción: Documentación/Mis formularios/Cuentas de día a día. Puedes entregarlo en cualquiera de nuestras oficinas, o bien contactar con nuestro servicio de mensajería cuyo teléfono aparece en dicho formulario, que lo recogerá de forma gratuita o, por último, enviarlo por correo ordinario a la dirección (…). Recuerda que para que el formulario tenga validez, todos los campos deben estar correctamente cumplimentados y la firma debe ser original y conforme a la que aparece en tu documento de identidad. Atentamente. El equipo de ING.” - Copia del expediente generado a raíz de la reclamación de 24 de abril de 2023 presentada por la parte reclamante contra ING ante la Oficina Municipal de Información al Consumidor (OMIC) del ***AYUNTAMIENTO.1. En el mismo se incluye la respuesta de ING a la OMIC de 16 de mayo de 2023 que se señala, entre otros aspectos: “(…) En primer lugar, este servicio lamenta sinceramente las molestias que los hechos que nos ha manifestado en su escrito le hayan podido ocasionar, así como que el servicio prestado por INF no haya sido el más adecuado posible. Del mismo modo, hemos tenido conocimiento de que la empresa de mensajería ***EMPRESA.1 está revisando sus archivos nuevamente a fin de poder confirmar si finalmente recepcionaron su documentación a la misma se extravió (…)”. - Atestado de la Guardia Civil de ***AYUNTAMIENTO.1 por la que se reproduce la denuncia presentada por la parte reclamante “por pérdida de objetos o efectos”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ING, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 15 de septiembre de 2023 ING en contestación al traslado, realiza las siguientes aseveraciones, que confirman la cronología detallada por la parte reclamante: - No se ha realizado ningún informe por parte de la Delegada de Protección de Datos de ING a raíz de esta reclamación. No obstante, el tratamiento de datos personales que se realiza respecto a la “recogida, escaneo y recepción de documentación de nuestros clientes ha sido analizado a través de la realización de una evaluación de impacto en materia de protección de datos que ha sido revisada y firmada por la delegada de Protección de Datos de ING. Se adjunta dicha evaluación de impacto en u última versión., así como copia del FullDpia realizado, que contiene una evaluación de impacto más exhaustiva al entender que este tratamiento podría tener incidencia en los derechos y libertades de nuestros clientes (…). - Que por parte de ING se realizaron varios intentos por localizar la documentación extraviada a raíz de que se recibiera el aviso por parte de la parte reclamante. En concreto, tras recibir una llamada de la parte reclamante el día 6 de febrero, el 8 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/43 de febrero de 2023 se solicitó información a la empresa por ellos contratada encargada de escanear toda la documentación recibida por los diferentes canales de entrada (***EMPRESA.2). El 9 de febrero se recibió respuesta de esta empresa informando que la documentación no había tenido entrada. - Asimismo, tras instar a la parte reclamante a la subida del albarán de recogida, el 13 de febrero de 2023 se procede a solicitar información a la empresa ***EMPRESA.1, proveedor de servicios de mensajería con la que trabajaba ING, que no guarda relación con DYNAMIC, empresa que realizó la recogida de la documentación. - A raíz del traslado de la reclamación por la AEPD se verifica por parte de ING que la solicitud de información a ***EMPRESA.1 fue realizada erróneamente, sin solicitarse información a DYNAMIC sobre la documentación extraviada hasta el 1 de septiembre de 2023. En concreto, se indica: “(…) Tras la recepción de este requerimiento de información, ING ha revisado nuevamente el caso y ha vuelto a solicitar a sus proveedores de mensajería información sobre el documento extraviado. Hemos verificado que en las interacciones anteriores se solicitó información a ***EMPRESA.1 ya que es la empresa de servicios de mensajería con la que principalmente trabaja ING y como es sabido estas empresas trabajan con otras entidades que forman parte de su red, por lo que probablemente se entendió que las entidades Autorradio, Sending y Dynamic (entidades referidas por A.A.A. en su queja) eran parte de su red. Dado que en ese momento no se contactó directamente con Dynamic por las razones expuestas anteriormente, se les ha solicitado información sobre dicho documento, a pesar de que, desde finales del mes de febrero de este año, esta empresa ya no presta servicios a ING, como se explica a continuación. Se adjunta en el informe aportado como Documento número 1, copia del citado email enviado con fecha 1 de septiembre de 2023(…)”. - En cuanto a las causas que, de acuerdo con ING, han motivado la incidencia que ha originado la reclamación: A.A.A. ha presentado reclamación porque el Formulario de Alta de Interviniente que entregó a un mensajero a finales del mes de enero de 2023 se ha extraviado. Desconocemos exactamente lo ocurrido entre las empresas que componen la red de mensajería utilizada por Dynamic, ya que ING es ajena a ella y sus procedimientos y protocolos son definidos y de responsabilidad exclusiva de dichas empresas de mensajería. Sin embargo, entendemos que la causa ha sido un error humano, puntual, ya que el extravío de la documentación que estas empresas deben entregarnos no es un hecho que ocurra habitualmente, teniendo en cuenta que el volumen de documentos que se reciben por esta vía es considerable. El subrayado es de la AEPD. - Respecto a la relación entre DYNAMIC e ING se señala: “(…) La empresa de mensajería Dynamic estuvo prestando servicios a ING de forma puntual durante un corto periodo de tiempo. En concreto, hasta que se inició un proceso de RFP para seleccionar a un nuevo proveedor de servicios de mensajería, al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/43 haber entrado en concurso de acreedores una de las dos empresas de mensajería con las que ING colaboraba. Se formalizó un contrato con la entidad Dynamic, con fecha 1 de septiembre de 2022 el cual fue finalizado el 28 de febrero de 2023. (…) Desde la empresa Dynamic nos han informado, tras esta solicitud realizada por ING, de que efectivamente dicho documento fue extraviado, entendemos que probablemente debido a un error humano puntual. - Por otra parte, respecto a las medidas adoptadas para evitar que se produzcan incidencias similares, ING asegura: “(…) desde el punto de vista de acciones de carácter contractual, entendemos que no es necesario adoptar ninguna medida porque ING ya dispone en los contratos firmados con las empresas de mensajería con las que colabora, acuerdos de niveles de servicio y de penalizaciones previstas para el caso de que los servicios no se presten adecuadamente. Asimismo, y con anterioridad a la recepción de esta reclamación, ING ha modificado los contratos formalizados con sus empresas de mensajería para regular su condición como responsables del tratamiento de los datos personales de los usuarios que estas entidades recaban como consecuencia de la prestación de los servicios de mensajería (recogida de documentación y entrega en destino), de acuerdo con los pronunciamientos de la Agencia realizados sobre este asunto”. - Por último, se concluye: “Desde ING lamentamos los hechos ocurridos y que el documento extraviado no haya podido ser localizado a través de las empresas de mensajería involucradas. Sin embargo, entendemos que el extravío del formulario se ha producido por un error puntual de la empresa de mensajería y, por lo tanto, de forma involuntaria, no siendo habitual que ocurran este tipo de situaciones en nuestro día a día. Por parte de ING, hemos llevado a cabo todas las acciones que estaban en nuestra mano para localizar dicho documento, lamentablemente sin éxito y hemos informado a A.A.A. de su extravío y de la necesidad de aportarlo nuevamente en el caso de que continúe deseando darse de alta como cotitular en la cuenta bancaria. No obstante lo anterior, de acuerdo con pronunciamientos de la Agencia, estas empresas de mensajería son responsables por los servicios que prestan a sus clientes y asimismo, del tratamiento que realizan de los datos personales de los usuarios de sus servicios. Aun así, como indicábamos anteriormente, desde ING hemos llevado a cabo todas las acciones que están en nuestra mano para intentar localizar el documento extraviado e informar oportunamente a A.A.A. de las gestiones realizadas y su resultado”. El subrayado es de la AEPD. Junto a su escrito de respuesta al traslado, se acompañan los siguientes documentos: - Captura de pantalla de la incidencia número ***REFERENCIA.3 que figura en el historial de la parte reclamante en el que constan las actuaciones llevadas a cabo por ING tras los diversos avisos realizados por la parte reclamante relativos a la documentación extraviada. La incidencia se crea el 6 de febrero de 2023 a las 13.23 horas con el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/43 “Cliente llama porque el día 26 de enero le han recogido el formulario de alta de interviniente para la cuenta de B.B.B.. La recogida la hizo por mensajería la empresa AUTORADIO. Los datos que el cliente tiene en el justificante que le dejaron son: número de recogida ***REFERENCIA.4, nombre del mensajero C.C.C., el cliente tiene un código de seguimiento ***REFERENCIA.1 y cuando entra a consultar en la página de la mensajería le aparece que está en tránsito desde el 26 de enero. Por favor reclamar a mensajería (…)”. El 8 de febrero de 2023 a las 14.29 horas figura como comentario: “Enviamos consulta al proveedor con los datos facilitados”. El 9 de febrero de 2023 en el historial de la incidencia consta: “Tenemos respuesta de ***EMPRESA.2 y no se ha recibido dicha documentación. Por favor, solicitad nuevo envío. Gracias”. El 13 de febrero de 2023 a las 17.02 horas el comentario es el siguiente: “Entra por consulta piloto, solicitamos al cliente que remita albarán de entrega de documentación para reclamar a mensajería”. A las 17.15 horas: “Recibo consulta del cliente… indica sube a su área personal el documento de mensajería”. Por su parte, el 14 de febrero de 2023 a las 14.12 horas figura: “Seguimos sin localizar el FAI ni con los datos de la TIT ni con los del cliente. Realizamos nueva consulta a proveedor para que nos confirmen la entrega de documentación. Quedamos a la espera”. El 16 de febrero de 2023 a las 11.40 horas el comentario en el historial de incidencias señala: “No se ha localizado por parte de ***EMPRESA.2 ni de ***EMPRESA.1 dicha documentación. Por favor, solicitad nos reenvíe de nuevo la misma”. Finalmente, el 18 de febrero de 2023 a las 9.32 horas se cierra la incidencia con la observación siguiente: “Solicitamos FAI de nuevo… cerramos”. - Copia del albarán de recogida de AUTORADIO subido a la plataforma de ING por la parte reclamante el 13 de febrero de 2023. - Copia del correo electrónico remitido por ING a DYNAMIC el 1 de septiembre de 2023 solicitando información sobre la documentación extraviada. En esta comunicación se señala: “(…)”. - Copia del contrato de prestación de servicios entre ING y DYNAMIC vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023, y, por ende, en vigor en el momento en el que tuvieron lugar los hechos descritos en el antecedente de hecho primero. En el mismo, se incluye un apartado relativo a la protección de datos de carácter personal por el que se identifica a ING como responsable del tratamiento y a DYNAMIC (proveedor) como encargado del tratamiento. El contrato, en materia de protección de datos, establece textualmente (el subrayado es de la AEPD): “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/43 Por su parte, el ANEXO IV- MEDIDAS DE SEGURIDAD establece las siguientes medidas: (…) Asimismo, en el ANEXO V- ACUERDO DE NIVEL DE SERVICIO se señala (el subrayado es de la AEPD): “(…)”. A continuación, en el mismo documento, se establecen penalizaciones en caso de incumplimiento por parte del proveedor que se refieren únicamente a la existencia de posibles retrasos en la recogida de la documentación. “(…)” - Carta de resolución de contrato enviada por ING a DYNAMIC el 13 de febrero de 2023 por la que manifiesta su voluntad de resolución del contrato con efectos del 28 de febrero de 2023. - Carta de 14 de septiembre de 2023 remitida por ING a la parte reclamante por la que le confirman el extravío de la documentación y reiteran sus disculpas ante lo acontecido. - Evaluación de impacto sobre gestión de documentación física y digital (versión reducida y completa). TERCERO: El 19 de septiembre de 2023, de conformidad con el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se solicitó a ING aclaración sobre las penalizaciones que fueron aplicadas DYNAMIC, en tanto que encargado, en el caso concreto, atendiendo a la respuesta proporcionada sobre las medias adoptadas para evitar incidencias similares. El 28 de septiembre de 2023 se recibió nueva respuesta en que se señala que no se aplicaron penalizaciones, en tanto que “durante la vigencia del contrato no se reportaron supuestos que justificaran la aplicación de penalizaciones en los términos recogidos en el contrato, a juicio de la información que disponemos en ING. Las incidencias computables para penalizar al proveedor son las que suponen errores que son directamente imputables a éste, como pueden ser la recogida de la documentación fuera de los plazos recogidos en la tabla del anexo 4 del contrato o la pérdida de ésta, por ejemplo. (…) Por tanto, los hechos que motivaron la reclamación (pérdida del documento) no fueron reportados por Dynamic a ING como caso de pérdida de documentación durante el tiempo que duró la relación contractual entre ambas entidades. En este sentido, en el fichero Excel de seguimiento del mes de enero de 2023, en la columna donde se codificaban las posibles incidencias producidas, no consta reportada ninguna. Asimismo, es conveniente aclarar que cuando ING tuvo certeza de que la pérdida del documento se produjo en el entorno de prestación de servicios de Dynamic, esta entidad ya no tenía relación contractual con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/43 Dynamic, que fue finalizada en el mes de febrero tal y como consta en las alegaciones iniciales presentadas”. CUARTO: Con fecha 20 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: Con fecha 10 de enero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.

1. a)del RGPD. SEXTO: El 13 de enero de 2025 fue notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). El 14 de enero de 2025 la parte reclamada presentó un escrito por el que solicitaba copia del expediente, así como ampliación del plazo de 10 días facilitado para presentar alegaciones al acuerdo de inicio. El 15 de enero de 2025 se acordó la ampliación del plazo por un máximo de 5 días, en los términos previstos por el artículo 32.1 de la LPACAP, y se remitió copia del expediente a la parte reclamada de acuerdo con el artículo 53.1
2. a)de la misma norma. Tras el mencionado acuerdo de ampliación, el plazo para presentar alegaciones al acuerdo de inicio por la parte reclamada finalizaba el 3 de febrero de 2025, inclusive. SÉPTIMO: El 3 de febrero de 2025 ING presentó un escrito con alegaciones al acuerdo de inicio en el que, en síntesis, expresaba lo que se recoge a continuación. 1. En la primera alegación bajo el título “Sobre el supuesto de hecho”, además de recoger los antecedentes de hecho establecidos en el acuerdo de inicio, señala: - - Con relación a la entidad DYNAMIC asegura que esta pasó a formar parte del conjunto de proveedores de mensajería de ING de forma temporal y que “tan solo prestó servicios de mensajería durante 5 meses, para atender un aumento de la demanda de mensajería puntual”. Asegura que DYNAMIC no cumplió con el sistema de reporte y seguimiento que tenía establecido y no reportó la incidencia en el mes de enero, lo que dificultó la búsqueda efectuada durante los meses de febrero y marzo por parte de ING. Además, señala que la actuación de ING fue diligente ya que, en primer lugar, se dirigió a su proveedor principal “dado que en el área donde se produce la recogida de la documentación de la Parte Reclamante (provincia de Pontevedra), un porcentaje mayoritario de las recogidas son efectuadas por ***EMPRESA.1, ING, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/43 en el marco de su operativa ordinaria, se dirigió a éste en primer lugar, a la hora de identificar el envío en cuestión y agilizar la localización de la documentación” Subraya que su proveedor principal es el operador postal organizado en redes de franquicias con mayor número de colaboradores en el mercado español, mientras que DYNAMIC es una empresa prestadora de servicios postales no inscrita a una red de grandes franquicias. Asimismo, asegura que, debido a la segmentación del sector, es habitual que en un único envío intervengan varias empresas de transporte o que, en ciertas áreas regionales se dividan “algunos sectores de cierta forma o, en caso de necesidad, se efectúan sustituciones o delegaciones de forma puntual entre las propias operadoras. Por lo anterior, esta revisión de las efectivas entidades intervinientes no puede ser identificada como una falta de diligencia de ING, sino que alude a la realidad operativa del sector”. - Señala que la incidencia representa apenas 0,0029% del total de recogidas y envíos de documentación de los clientes de ING, por lo que considera que las medidas desplegadas son adecuadas para el 99,9% de los casos restantes. 1. En la segunda alegación, con denominación “Sobre la adecuación de las medidas de seguridad” ING señala “pese a que en las alegaciones de esta parte a los distintos requerimientos de información ya se enumeraron las medidas que se han desplegado (de forma previa, y a posteriori) por parte de ING” las siguientes medidas: o o o Adopción de RAT, conforme al artículo 30 del RGPD. Evaluación de impacto conforme al artículo 35 del RGPD. Formalización de un contrato con DYNAMIC de acuerdo con el artículo 28 del RGPD en el que se incluyen las medidas de seguridad ya detalladas en los antecedentes de hecho, incluidas las correspondientes al Anexo IV anteriormente reproducido. Además, subraya que el contrato contenía un Acuerdo de nivel de servicio en su Anexo V en el que se establecía que “en caso de incumplimiento de la normativa se informará de manera inmediata a ING, así como de las medidas que adoptará en orden a reestablecer los niveles de servicios acordado y los plazos de implementación de los mismos”. Subraya que “en concreto, se establece un período de 24h para la entrega de la documentación recogida por DYNAMIC, por lo que, la finalización de tal plazo sin la ejecución de la entrega se categoriza como una incidencia, la cuál debe ser reportada a ING de forma inmediata. De esta forma, ING realizaba un seguimiento efectivo, que llevaba asimismo aparejada una posible penalización en caso de incumplimiento (15% de penalización ante la existencia de un 2% de incidencias, definidas ésta como la ausencia de entrega en el plazo de 24h)”. o C/ Jorge Juan, 6 28001 – Madrid Asegura que, durante la prestación del servicio, se estableció, a efectos de realizar el seguimiento y trazabilidad de la ejecución del servicio, una remisión de reportes periódica: “cuando estas derivaban en una incidencia o una recogida fallida, tal y como se evidencia en el DOC 1 Ficheros.pdf ya aportado con anterioridad al expediente, en el que recoge el reporte www.aepd.es sedeaepd.gob.es 13/43 relativo al envío de documentación de la Parte Reclamante”. Esto demostraría, asegura, que sí que existían, señala, medidas encaminadas a efectuar una trazabilidad y conocer el estado de las entregas implementadas por ING. Añade que “adicionalmente a las medidas estipuladas por ING, DYNAMIC disponía, como medida a efectos de trazabilidad y seguimiento de los envíos, de un aplicativo que permitía el seguimiento de la entrega al usuario o cliente de ING, introduciendo el número del pedido en su web. Dicha medida fue utilizada por la Parte Reclamante, conforme se evidencia en la captura que se adjunta a continuación, del informe de interacciones ya aportado por ING en fase de requerimiento”. o - Realiza revisión periódica de las medidas adoptadas contractualmente y cuenta con un plan de monitorización anual en base al cual se seleccionan proveedores de diferente naturaleza. Concluye que lo anterior demostraría que contaba con medidas suficientes que, además, son el “estándar empleado en el sector de los servicios de mensajería en lo relativo al control y seguimiento de los envíos y recogidas” y que el “riesgo cero” no existe y no es, por tanto, exigible a ING, tal y como se desprende de la Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, en su Sección 1ª, de 23 de diciembre de 2013, Rec. 341/2012. 1. En la tercera alegación, denominada “sobre el rol del responsable del tratamiento y la responsabilidad asociada” manifiesta que DYNAMIC sería responsable del tratamiento conforme al artículo 28.10 del RGPD en la medida en que ING tenía establecidas medidas de seguimiento y trazabilidad de las recogidas y envíos de documentación y que DYNAMIC tenía obligación de realizar reportes periódicos, pero que incumplió esta obligación. Por tanto, DYNAMIC no reportó el extravío de la documentación en ningún momento y actuó incumpliendo las instrucciones del responsable. Por lo que sería esta entidad quien habría incumplido los artículos 28, 33 y 82 del RGPD. 2. En la cuarta alegación, que lleva por título “Sobre la no acreditación de culpa o negligencia por ING”, la parte reclamada: - - Insiste en que contaba con medidas adecuadas como ha expuesto en su alegación segunda. Asimismo, manifiesta que la documentación se encontraba en un sobre cerrado, por lo que no ha habido brecha de confidencialidad en la medida en que no consta que la documentación contenida en el sobre haya sido accedida por terceros no autorizados. Además, expone casos concretos en los que, a su entender, la actuación de la AEPD habría sido distinta al caso expuesto respecto a la imputación de infracciones a responsables. Asegura que no se ha aplicado el principio de presunción de inocencia y que no consta que se haya producido daño a la parte reclamante, siendo prueba de ello, a su parece, que su pareja continúe teniendo la cuenta con su entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/43 1. En la quinta alegación “Sobre la inadmisión de responsabilidad objetiva” remarca que se trata de un error individual del encargado del tratamiento y que no se han tenido en cuenta por la AEPD las medidas que figuraban en el contrato. Asimismo, reproduce partes de la STS 188/2022 de 15 de febrero de 2022 para indicar que el RGPD establece una obligación de medios y no de resultados. 2. Por último, en la sexta alegación relativa “Sobre la falta de proporcionalidad de la infracción” indica que, si bien considera que su actuación ha sido diligente y que, por tanto, no procede la apertura de un procedimiento sancionador, en caso de que por parte de la AEPD se considerara la existencia de algún incumplimiento, ha de valorarse que la cuantía de la sanción fijada inicialmente es excesiva en la medida que, a su juicio: - - - Solo afecta a dos personas. No parece que se haya puesto a disposición de terceros no autorizados la documentación. ING nunca ha sido sancionada por el artículo 32 del RGPD, es más nunca se le ha impuesto una sanción en materia de protección de datos. Es una incidencia que representa el 0,0029% de las recogidas. Las actuaciones llevadas a cabo por ING a efectos de identificar al proveedor encargado de la recogida no pueden ser calificadas como un incumplimiento porque supone consultar a todos los proveedores para poder resolver el asunto. A este respecto citan otros procedimientos sancionadores dirigidos por la AEPD contra otras entidades. En relación con las circunstancias del artículo 83.2 del RGPD recogidas en el acuerdo de inicio: o Respecto a la intencionalidad o negligencia: reiteran que DYNAMIC es responsable al no haber dado el aviso. o Respecto a los datos afectados: señalan que no son datos contenidos en el artículo 9 del RGPD y que no tienen la consideración de sensibles porque se encontraban en un sobre cerrado. o En cuanto a la vinculación de su actividad con el tratamiento de datos personales, aseguran que, si bien ING realiza tratamientos de datos personales, “la recogida y transporte de documentación no constituye la actividad principal de ING, ni una actividad complementaria o asidua a su actividad principal, por lo que no afecta, ni mucho menos, a todos los clientes de ING, constituyendo una práctica residual dentro de la operativa de la entidad financiera”. Por otra parte, señala que se deberían haber valorado como atenuantes: o La ausencia de sanciones previas (artículo 83.2
3. e)del RGPD). o Tratamiento de datos sin categoría especial (artículo 83.2
4. g)del RGPD) o El grado de cooperación con la AEPD (artículo 83.2
5. f)del RGPD) o La adhesión a códigos de conducta o mecanismos de certificación (artículo 83.2
6. j)del RGPD). A este respecto señala que “cuenta con un sistema de cumplimiento y prevención de riesgos penales certificado de forma externa, conforme estipula el Artículo 31 Bis del Código Penal. El mismo ha sido revisado, en el año 2019 por parte de la entidad ERNST & C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/43 o YOUNG, S.L., tanto el “Modelo de cumplimiento y prevención de riesgos penales” como el “Modelo de Prevención del Blanqueo de Capitales”. El inexistente beneficio (artículo 83.2
7. k)del RGPD). OCTAVO: El 25 de febrero de 2025, ING remite un escrito por el que comunica, entre otros aspectos, lo siguiente: “(…) La contratación de DYNAMIC con ING en septiembre de 2022 trae causa de la finalización del contrato de prestación de servicios con el previo proveedor, lo que requirió de una contratación coyuntural (en concreto, el período fue de 6 meses) hasta que dicha prestación de servicio se cubriera de forma indefinida. En el transcurso de esos seis meses, ING emitió una solicitud de propuesta o Request for Proposal (RFP), de cara a la selección de un proveedor de forma definitiva, la cual fue finalmente adjudicada a la entidad (…) El único subencargado autorizado por ING en la prestación de servicios con DYNAMIC (…) . A excepción de éste, DYNAMIC no ha comunicado a ING la intervención de ningún proveedor adicional (…)”. NOVENO: Según la información disponible en ING.es (https://www.ing.es/sobre-ing/salaprensa/resultados-anuales-2022) ING España y Portugal sumó 256.000 nuevos clientes en 2022. Durante el año 2023, ING superó los 3.000.000 de clientes y sumó 330.000 nuevos clientes (ing.es/sobre-ing/sala-prensa/ing-impulsa-su-crecimientoresultados-anuales). DÉCIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: ING y DYNAMIC suscribieron un contrato de prestación de servicios de recogida documental, con su correspondiente contrato de encargo, vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023. Conforme al mismo, ING, responsable del tratamiento, encomendaba a DYNAMIC, los servicios de recogida de documentación de los clientes de ING, previa concertación de una cita con la empresa de mensajería por parte del cliente. SEGUNDO: En el marco del contrato anteriormente señalado, el 24 de enero de 2023 la parte reclamante, cliente de ING, siguiendo las instrucciones facilitadas por esta entidad, concertó la recogida de documentación relativa a su alta como nuevo interviniente en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/43 una cuenta bancaria. El mismo día, recibe una etiqueta de identificación del envío por parte de DYNAMIC. El 26 de enero de 2023 la empresa AUTORADIO, colaboradora de DYNAMIC, recoge la documentación en el domicilio de la parte reclamante. TERCERO: Los días 2,6, 10 y 13 de febrero de 2023 la parte reclamante se pone en contacto con ING para preguntar si esta entidad había recibido la documentación enviada. CUARTO: El 6 de febrero de 2023, tras una nueva llamada de la parte reclamante, ING procede a la apertura de una incidencia en sus sistemas en la que hace constar el nombre de la empresa, el número de recogida, el nombre del mensajero y el código de seguimiento del paquete facilitados por la parte reclamante. QUINTO: El 8 de febrero de 2023, ING realiza una consulta a la empresa ***EMPRESA.2, encargada de la recepción de la documentación por cuenta de ING para confirmar si se había recibido la documentación remitida por la parte reclamante. Recibe respuesta negativa el 9 de febrero de 2023. SEXTO: El 13 de febrero de 2023, tras la solicitud por vez primera a la parte reclamante de copia del albarán, y ante la insistencia de este, ING consulta a la empresa de mensajería ***EMPRESA.1 por la documentación. Tras la negativa de esta, no realiza ninguna comprobación adicional con otros encargados que, atendiendo a las características del servicio en relación con el contrato suscrito, pudieran haber tenido encomendada la recogida en cuestión. SÉPTIMO: En la cronología de la incidencia abierta por ING figura como comentario interno de los días 9 y 16 de febrero que se solicite por parte del departamento correspondiente de ING de nuevo la documentación al cliente, sin mención alguna a una posible brecha de datos personales. OCTAVO: El 18 de febrero de 2023, ING confirma el extravío de la documentación y solicita a la parte reclamante que remita de nuevo la documentación si desea continuar con el proceso alta como interviniente en una cuenta bancaria. NOVENO: La documentación extraviada contenía los datos personales de la parte reclamante presentes en el formulario remitido (nombre, apellidos, número de DNI, fecha de nacimiento, país de nacimiento, nacionalidad, país de residencia fiscal, dirección de correo electrónico, número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica) y los datos personales de la pareja de la parte reclamante (nombre, apellidos, número de DNI, número de cuenta y rúbrica). Además, entre la documentación extraviada constaba una copia completa del DNI de la parte reclamante, que tenía que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/43 ser facilitada al mensajero, de acuerdo con las instrucciones del formulario de alta de nuevo interviniente de ING y los datos personales consignados en la etiqueta. DÉCIMO: El 16 de mayo de 2023, en contestación a una reclamación presentada ante la OMIC (Oficina Municipal de Información al Consumidor) del ***AYUNTAMIENTO.1 por la parte reclamante, ING le comunica que se ha vuelto a poner en contacto con ***EMPRESA.1 para preguntar por la documentación extraviada. ING no realiza consultas a otros encargados que, atendiendo a las características del servicio en relación con el contrato suscrito, pudieran haber tenido encomendada la recogida en cuestión. UNDÉCIMO: El 1 de septiembre de 2023, tras el traslado de la reclamación por la AEPD, ING contacta por primera vez con DYNAMIC para confirmar si la recogida del 26 de enero de 2023 en el domicilio de la parte reclamante había sido realizada por esta o alguno de sus colaboradores. DUODÉCIMO: El contrato entre ING y DYNAMIC contaba con un Anexo IV en el que se consagraban las medidas de seguridad a cumplir por el encargado del tratamiento. Entre las diferentes medidas constaban, entre otras, medidas destinadas a la seguridad física y la seguridad cibernética, sin que figuraran medidas dirigidas a garantizar la trazabilidad de los envíos de documentación. DÉCIMOTERCERO: El contrato entre ING y DYNAMIC contaba con un Anexo V- Acuerdo Nivel de Servicio, en el que se preveían penalizaciones en caso de incumplimiento de DYNAMIC. No obstante, ING no ejercitó acciones contra DYNAMIC por el extravío de la documentación remitida por la parte reclamante, aun cuando este se hubiera producido durante la vigencia del contrato. DÉCIMOCUARTO: ING España y Portugal cuenta con un volumen de negocios1.091.000.000 euros en el año 2023, de acuerdo con la información disponible en ING.es (ing.es/sobre-ing/salaprensa/ing-impulsa-su-crecimiento-resultados-anuales). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/43 II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que DYNAMIC recoge y conserva datos personales de la parte reclamante que remitía documentación a la entidad bancaria ING. Entre los datos tratados se encuentran el nombre, apellidos, nº de DNI, copia del DNI o la dirección postal. DYNAMIC realiza esta actividad en su condición de encargado del tratamiento del tratamiento, dado que ING es quien determina los fines y los medios de la actividad de conformidad con el artículo 4.7 del RGPD, mientras que DYNAMIC trata (durante la vigencia del contrato) los datos personales por cuenta del responsable del tratamiento en virtud del artículo 4.8 del RGPD. Así, en este supuesto, ING es el responsable del tratamiento. Como se ha indicado, el RGPD establece que es responsable del tratamiento quien determina los fines y los medios de dicho tratamiento. En este sentido, el artículo 4.7 del RGPD dispone: “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento;(…)” (subrayado de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/43 Por su parte, las Directrices del CEPD 07/2020 destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” (subrayado de la AEPD). Asimismo, las referidas Directrices del CEPD 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de la AEPD). A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices del CEPD destacan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” (subrayado de la AEPD). Por su parte, como se ha señalado, DYNAMIC es encargado del tratamiento: El artículo 4.8 del RGPD establece: “8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” (subrayado de la AEPD). Las Directrices del CEPD 07/2020 indican dos condiciones fundamentales para ser considerado encargado del tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/43 “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
8. a)ser un ente independiente del responsable del tratamiento; y
9. b)tratar datos personales por cuenta del responsable.” (subrayado de la AEPD) Ambas condiciones concurren en el supuesto analizado: Por una parte, DYNAMIC es un ente independiente de ING (responsable del tratamiento). Por otra, DYNAMIC trata los datos de clientes o potenciales clientes de ING y hace llegar a esta última la documentación remitida por aquellos. Además, los tratamientos de datos personales de clientes o potenciales clientes de ING, los realiza DYNAMIC se llevan a cabo siguiendo los intereses de ING. Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Las referidas Directrices del CEPD 07/2020 resaltan que nada impide que el encargado del tratamiento (en este caso, DYNAMIC) ofrezca un servicio previamente definido: “84. Tal como se ha indicado previamente, nada impide que el encargado del tratamiento ofrezca un servicio previamente definido, pero el responsable del tratamiento debe adoptar la decisión final de aprobar el modo en que se efectuará el tratamiento, al menos en lo relativo a los medios esenciales.” (subrayado de la AEPD). En el presente caso, la relación jurídica entre ING y DYNAMIC como responsable y encargado del tratamiento, respectivamente, se pone de manifiesto en el contrato suscrito entre ambas vigente entre el 1 de septiembre de 2022 hasta el 28 de febrero de 2023, en el que se establece que “(…)”. IV Contestación a las alegaciones al acuerdo de inicio Conviene, en primer término, contestar las alegaciones efectuadas por ING a las que se ha hecho referencia en los antecedentes de hecho: 1. En relación con la primera alegación: - Se señala que, aun cuando la relación entre ING y DYNAMIC tuviera lugar durante un corto periodo de tiempo, esto no exime del cumplimiento de la normativa en materia de protección de datos. En este sentido se remarca que el RGPD establece en su artículo 28.1 la obligación de que el responsable del tratamiento elija a un encargado adecuado con independencia de la duración de la relación entre ambos. No obstante, la duración del contrato, en tanto que determina la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/43 duración de la infracción, habrá de ser tenido en cuenta a la hora de determinar la cuantía de multa. - En cuanto al alegado incumplimiento por parte DYNAMIC respecto al sistema de reporte y seguimiento que había establecido ING, y que este hecho dificultó que ING tuviera conocimiento de la incidencia, se señala que el mencionado sistema establecía penalizaciones en caso de incumplimiento por parte del proveedor: ING asegura en su escrito que el incumplimiento debe entenderse como retrasos en la entrega de la documentación recogida, que debía realizarse en 24 horas. Asimismo, establecía la siguiente penalización: “más del 2% de incidencias en las recogidas se penalizará con 15% en el coste unitario de las recogidas afectadas”. No obstante, en la página 13 de su escrito de alegaciones señala que el sistema de reporte se centraba en las incidencias durante la recogida de la documentación, presentando una tabla ejemplificativa a estos efectos. En el presente caso, la recogida se realizó en la fecha prevista (el 26 de enero de 2023) y fue posteriormente cuando se produjo el incidente. Ahora bien, de acuerdo con lo señalado por ING, ING tendría que haber recibido la documentación el 27 de enero de 2023, y no lo hizo. No obstante, ING no detectó este retraso, puesto que carecía de mecanismos de alerta temprana que pudieran advertirle sobre un posible incumplimiento en el plazo de entrega por parte de su encargado. Asimismo, carecía de medidas de trazabilidad que le permitieran conocer la entidad que había recogido el pedido y en qué fecha, así como la fecha estimada de recepción. El sistema previsto, de acuerdo con lo alegado por ING, exigía que el encargado informara sobre las incidencias, sin establecer ninguna otra forma de control para asegurar el cumplimiento, dejando este enteramente en manos de su encargado. Esto pone de manifiesto, de nuevo, la ausencia de medidas imputadas que permitieran a ING verificar y asegurarse del adecuado cumplimiento por parte de su encargado, a través, por ejemplo, de medidas de trazabilidad sobre la documentación durante la vigencia del contrato entre las dos entidades. En línea con lo anterior, se remarca que, si bien DYNAMIC no informó de la incidencia, ING tuvo conocimiento de esta a través del afectado, que se puso en contacto con la entidad por vez primera para alertar sobre la situación el 2 de febrero de 2023. No obstante, la entidad no generó una incidencia en su sistema hasta el día 6 de febrero de 2023. En el texto de la incidencia ya figura el nombre de la empresa de transporte que realizó la recogida. No obstante, ING no supo identificar a su encargado hasta el 1 de septiembre de 2023, a raíz de la intervención realizada por la AEPD, a pesar de los avisos previos realizados por el afectado, incluyendo su reclamación ante la OMIC en abril de 2023. En cualquier caso, tal y como ha confirmado ING, una vez se tuvo conocimiento de la incidencia y se logró identificar al encargado, no se establecieron penalizaciones o se exigieron responsabilidades contra DYNAMIC por parte de ING, aun cuando la pérdida de los datos personales se produjera durante la vigencia del contrato, de lo que se deduce que no se apreció incumplimiento. - En cuanto a la alegada actuación diligente por parte de ING, puesto que su primera reacción fue dirigirse a su proveedor principal -y no al encargado que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/43 tenía encomendada la recogida, DYNAMIC-, resulta pertinente recordar la cronología de los acontecimientos: o El afectado se pone en contacto por primera vez con ING el 2 de febrero de 2023. o La incidencia no se abre en el sistema hasta el día 6 de febrero de 2023. Como se ha indicado, en dicha incidencia ya figura el nombre de la empresa que realizó la recogida, el número de la recogida, el número de seguimiento y el nombre del mensajero. o El 9 de febrero de 2023, una vez se ha recibido respuesta negativa de la empresa encargada de manera centralizada de recepcionar la información (***EMPRESA.2) ya figura en el comentario de la incidencia “solicitad nuevo envío”. o El contacto con su proveedor principal no se produce hasta el 13 de febrero, tras una nueva llamada del afectado y tras solicitarle ING (11 días más tarde desde la primera llamada) que remitiera copia del albarán de la recogida. o Una vez que se recibe respuesta del proveedor principal, y este asegura que no localiza el envío, ING se limita a cerrar la incidencia y a solicitar al afectado que remita de nuevo la documentación. o En ningún momento se solicitó al afectado que remitiera, por ejemplo, la etiqueta de recogida o el correo electrónico de confirmación de la recogida del que ING hubiera podido obtener más información que le hubieran permitido identificar a su encargado. o ING no realizó ninguna gestión o comprobación adicional hasta que recibe la reclamación presentada en abril de 2023 por la parte reclamante ante la OMIC. De nuevo, la única actuación realizada por ING consiste en reiterar la consulta al mismo proveedor principal. o Finalmente, el 1 de septiembre de 2023, tras el traslado de la reclamación por parte de esta Agencia, ING contacta con DYNAMIC para comprobar si fue el encargado que tenía encomendado la recogida de la documentación. Lo anterior pone de manifiesto que ING desconocía los encargados -que actúan por delegación del responsable- que podían, por el tipo de contrato de servicios suscrito, haber sido susceptibles de recoger la documentación, no ya en el domicilio de la parte reclamante, sino en una fecha determinada y en una localidad determinada. - - Por otra parte, respecto a su aseveración relativa a que la segmentación del sector hace habitual que en un único envío intervengan varias empresas de transporte, debe precisarse que lo anterior no exime del cumplimiento de la normativa en materia de protección de datos, máxime si la dinámica del sector es conocida por el responsable y puede exigir, atendiendo al riesgo identificado, reforzar las medidas de seguridad acordes a este, así como adaptarse al resto de exigencias del RGPD. Por último, respecto al porcentaje que la incidencia representa en relación con el conjunto de los envíos realizados por ING, se señala que el incidente ha puesto de manifiesto la ausencia de medidas de seguridad técnicas y organizativas adecuadas al riesgo por parte de ING, al menos durante la vigencia del contrato en cuestión, esto es, del 1 de septiembre de 2022 hasta el 28 de septiembre de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/43 2023. Esa ausencia de medidas general afecta a la totalidad de los envíos de documentación realizados durante ese periodo. Estos hechos son los que conllevaron la apertura del presente procedimiento sancionador. 1. Respecto a la segunda alegación, con denominación “ Sobre la adecuación de las medidas de seguridad” - En lo referente a las medidas alegadas por ING, se recuerda, en primer término, que la elaboración de un RAT, una EIPD o la suscripción de un contrato de encargado son obligaciones del responsable prescritas, respectivamente, por los artículos 30, 35 y 28 del RGPD. Por otra parte, tal y como se señalaba en el acuerdo de inicio, corresponde al responsable establecer en el contrato de encargo las medidas necesarias de conformidad con el artículo 32 del RGPD. A este respecto, se subraya que, de conformidad con las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento», el CEPD permite libertad sobre el nivel de detalle de las medidas determinadas por el responsable, sin que, en ningún caso, pueda tratarse de una mera reproducción del RGPD. Además, las medidas deben adecuarse al riesgo y han de establecer, al menos, los objetivos de seguridad (en función de la evaluación del riesgo del responsable). En el presente caso, entre las medidas establecidas, no figura ninguna relativa a garantizar la trazabilidad de los envíos de documentación para conocer la ubicación precisa de estos. Es más, todas las medidas parecen ir destinadas a asegurar el cumplimiento de los objetivos de disponibilidad de los datos en los sistemas de información, ataques cibernéticos y de la seguridad física de los paquetes y las instalaciones donde estos se custodien. - En cuanto a las referencias al Anexo V del contrato, y a que su sistema de penalizaciones podía entenderse como una medida destinada a garantizar la trazabilidad, se reitera lo señalado en la contestación a la primera alegación. Se resalta, en cualquier caso, que ING presenta un ejemplo de los “reportes periódicos” que tenían que ser enviados por DYNAMIC. Tal y como indica en sus propias alegaciones “los reportes se efectuaban en documentos que identificaban cada una de las recogidas realizadas por DYNAMIC para ING (…). A continuación, se proporciona una captura de pantalla ejemplificativa del contenido de los reportes”. El contenido del reporte hace referencia exclusivamente a las incidencias existentes durante la recogida de la documentación, señalando como incidencias: “dirección incompleta, ausente por segunda vez, ausente (…)”. De lo anterior se evidencia, que el objetivo de los reportes se circunscribía exclusivamente a las incidencias producidas durante la recogida. En el presente caso, la recogida se produjo sin incidentes en la fecha prevista. Por otra parte, el hecho de que DYNAMIC contara con una aplicación que permitiera al cliente el seguimiento de su documentación, no puede confundirse ni equipararse con la existencia de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que se exigen a ING, en tanto que responsable, conforme al artículo 32 del RGPD y que permitan a ING garantizar el control de las entregas postales, estableciendo un sistema viable de comprobación de la trazabilidad de la documentación enviada, unida al seguimiento de las reclamaciones para asegurar la alerta temprana de posibles brechas de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/43 - En relación con las revisiones periódicas de las medidas adoptadas que alega ING, se subraya que el propio RGPD establece un nuevo enfoque basado en la gestión del riesgo que no es estático y, por ende, requiere de evaluaciones periódicas destinadas a garantizar el cumplimiento del RGPD en su conjunto, en el marco del principio de responsabilidad proactiva del responsable, reconocida en el artículo 5.2 del RGPD y desarrollada en el artículo 24 del RGPD. Asimismo, en relación con el plan de monitorización anual en base al cual se seleccionan proveedores, lo que pondría de manifiesto la existencia, según ING, de medidas de seguridad adecuadas al riesgo, se subraya que es obligación del responsable, conforme al artículo 28 del RGPD seleccionar un encargado que presente garantías suficientes para aplicar medidas técnicas y organizativas apropiados para que el tratamiento sea conforme a lo previsto en el RGPD. - Por último, asegura ING que contaba con el “estándar” de medidas del sector respecto a los servicios de mensajería y que la inexistencia del riesgo cero impide la exigibilidad de la infalibilidad absoluta de las medidas. Al respecto, hay que hacer referencia a la SAN de 29 de octubre de 2024, rec. 1824/2021, que dispone que: “…se ha de subrayar, en relación con las medidas técnicas y organizativas, que no estamos ante un requisito meramente formal, sino material. En este sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso", lo que no implica que se exija una obligación de resultado”. En la misma línea la STJUE de 14 de diciembre de 2023, Natsionalna agentsia za prihodite, asunto C-340/21, EU:C:2023:986: “[la adopción de medidas de seguridad en materia de protección de datos de carácter personal] no se cumple con la adopción de cualquier medida, pues deben ser las necesarias para garantizar aquellos objetivos que marca el precepto, y por supuesto, no basta con la aprobación formal de las medidas de seguridad, ya que resulta exigible que aquéllas se instauren y pongan en práctica de manera efectiva. Hemos considerado, en consecuencia, que se impone una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva, todo responsable de un fichero (o encargada de tratamiento) es, por disposición legal, una deudora de seguridad en materia de datos debiendo asegurarse de que dichas medidas o mecanismos se implementen de manera efectiva en la práctica.” Y de manera similar la STS de 15 de febrero 2022 (Rec. 7359/2020) indica que; “(…) no basta con diseñar los medios técnicos y organizativos necesarios también es necesaria su correcta implantación y su utilización de forma apropiada, de modo que también responderá por la falta de la diligencia en su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/43 utilización, entendida como una diligencia razonable atendiendo a las circunstancias del caso”. De lo anterior se concluye que el cumplimiento del artículo 32 del RGPD exige no solo la adopción o diseño de medidas de seguridad adecuadas al riesgo, sino su adecuada implementación y seguimiento. Asimismo, cabe citar la sentencia del Tribunal Constitucional 94/1998, de 4 de mayo, en la que el Tribunal Constitucional señalaba que nos encontramos ante un derecho fundamental a la protección de datos por el que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por tanto, el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD -partiendo de la doble configuración de la seguridad como un principio relativo al tratamiento y una obligación para el responsable o el encargado del tratamiento- no impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante al riesgo. 1. En contestación a la tercera alegación, denominada “sobre el rol del responsable del tratamiento y la responsabilidad asociada” por la que señala que el responsable sería DYNAMIC en tanto que este habría incumplido sus obligaciones, se señala lo siguiente: Tal y como se ha señalado en contestación a las alegaciones anteriores, corresponde al responsable la adopción de las medidas de seguridad necesarias, adecuadas al riesgo, sean estas de índole preventiva, detectora, correctiva o de mejora. Asimismo, el responsable debe facilitar al encargado las medidas de seguridad que este debe seguir o implementar, ya sea en mayor o menor detalle, pero indicando, en cualquier caso, los objetivos de seguridad perseguidos. En el presente caso, tal y como se ha señalado, las instrucciones facilitadas a DYNAMIC no contenían mención alguna a un sistema de trazabilidad que permitiera conocer la ubicación de la documentación por parte de ING, sino que se centraban en aspectos relativos a seguridad física e informática. Por otra parte, el sistema de reporte periódico se circunscribía a incidencias respecto a la recogida de la documentación. Por otra parte, y con independencia de lo anterior, en cualquier caso, ING carecía de mecanismos de alerta temprana que permitieran detectar posibles brechas de datos personales, o que le permitieran verificar el cumplimiento y realizar un control sobre su encargado. Además, ING tuvo conocimiento de la incidencia a través del propio afectado, aun cuando DYNAMIC no le informara, y no supo identificar al encargado al que encomendó la recogida de la documentación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/43 2. En lo referente a la cuarta alegación, que lleva por título “ Sobre la no acreditación de culpa o negligencia por ING”: - Respecto a la reiteración realizada por ING sobre que contaba con medidas de seguridad adecuadas al riesgo tal y como expuso en la alegación segunda, se remite a la contestación realizada a esa alegación. Se insiste, no obstante, en que el RGPD supone un nuevo enfoque orientado al riesgo en el que la responsabilidad proactiva del responsable ocupa un papel central. Así, el responsable no solo tendrá que adoptar medidas y cumplir con las obligaciones de hacer o no hacer que le imponga expresa o tácitamente el RGPD, sino que tendrá que ser capaz de demostrar en todo momento que el tratamiento efectuado es acorde a la normativa. El artículo 32 del RGPD supone una manifestación de las obligaciones de responsabilidad proactiva que el RGPD impone al responsable y supone la exigencia de adoptar e implementar medidas de seguridad de todo tipo para garantizar un nivel de seguridad adecuado al riesgo durante todo el ciclo del tratamiento de los datos personales. - Por otra parte, ING asegura que, en tanto que la documentación se encontraba en un sobre cerrado, no ha podido producirse una brecha de confidencialidad, en la medida en que no consta que la documentación contenida en el sobre haya sido accedida por terceros no autorizados. Al respecto se señala que una brecha de datos personales, de acuerdo con el RGPD, puede afectar tanto a la disponibilidad, a la confidencialidad o la integridad de estos. La confidencialidad implica el acceso por parte de terceros no autorizados, mientras que la integridad supone que estos son corrompidos o alterados por terceros no autorizados. Por su parte, la disponibilidad afecta a la pérdida de estos, como ocurrió con los datos personales de la parte reclamante. En cualquier caso, se subraya que en el presente procedimiento se imputa un artículo 32 del RGPD, que hace referencia a la adopción e implementación de medidas de seguridad adecuadas al riesgo capaces de garantizar la confidencialidad, integridad, disponibilidad de los datos personales. - En cuanto a otras resoluciones de la AEPD a las que hace referencia, se subraya que las resoluciones de esta Agencia se basan en el análisis de las circunstancias concretas del caso concreto, sin que se aprecie en este caso concreto, la pertinencia de la aplicación del principio de presunción de inocencia, en la medida en que se ha producido la pérdida de los datos personales de la parte reclamante, siendo este hecho reconocido por la propia parte reclamada, poniéndose de manifiesto, en consecuencia, la ausencia general de medidas de seguridad adecuadas al riesgo de ING, al menos durante la vigencia del contrato entre ING y DYNAMIC. - En relación con la aseveración de que no se ha producido, bajo criterio de ING, daño a la parte reclamante, siendo prueba de ello, que su pareja continúa teniendo la cuenta en su entidad, conviene señalar el derecho a la protección de datos es un derecho fundamental constitucionalmente reconocido en el artículo 18.4 de la CE. Este derecho fundamental reconoce el derecho de los ciudadanos al control sobre sus datos, tengan estos datos o no dimensión constitucional. La pérdida de los datos personales de la parte reclamante supone por sí misma una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/43 lesión a su derecho fundamental de protección de datos, sin que sea relevante que la pareja del afectado mantenga o no su cuenta en la entidad reclamada. 1. En lo referente a la quinta alegación “Sobre la inadmisión de responsabilidad objetiva”: - Se subraya que, con carácter general, el responsable del tratamiento responde de las actuaciones de su encargado, en la medida en que este actúa por cuenta de este y conforme a sus instrucciones en los términos señalados en las cuestiones previas de este documento. Sin perjuicio de lo anterior, se subraya que, en el presente caso, el objeto del presente procedimiento sancionador es la ausencia de medidas de seguridad adecuadas al riesgo de ING durante la vigencia de su contrato con DYNAMIC, aun cuando estas se hubieran puesto de manifiesto a raíz del extravío de documentación de la parte reclamante. - En lo relativo a que el RGPD establece una obligación de medios y no de resultados, se remite a lo señalado a este respecto en la contestación a la alegación segunda. 1. Respecto a la sexta alegación denominada “Sobre la falta de proporcionalidad de la infracción” por la que se cuestiona la proporcionalidad de la multa: - En cuanto a que la incidencia únicamente ha afectado a dos personas y que representa un porcentaje muy bajo de incidencias respecto al total de recogidas realizadas por o en nombre de ING, se reitera que, si bien la reclamación ha sido interpuesta por un único reclamante respecto a unos hechos concretos que le afectan a él y a su pareja, a raíz de la brecha de datos personales producida, se ha puesto de manifiesto la ausencia de medidas técnicas y organizativas de seguridad adecuadas al riesgo por parte de ING que afectan no únicamente a dos personas, sino, potencialmente a la totalidad de clientes de ING que hicieron uso de su servicio de mensajería para la remisión de documentación (que contenía datos de carácter financiero) durante la vigencia del contrato con DYNAMIC. Este elemento debe valorarse de conformidad con el artículo 83.2
10. a)del RGPD. - Por otra parte, tal y como se ha explicado durante la contestación a la alegación cuarta, existen distintos tipos de brechas de datos personales, entre las que se incluye la de disponibilidad. - El hecho de que ING no haya sido sancionada previamente en materia de protección de datos no influye en que, en el presente caso, se haya producido una infracción en esta materia, que ha de sancionarse de conformidad con la normativa vigente. Además, si bien el artículo 83.2
11. e)contempla cualquier infracción anterior del responsable del tratamiento como una circunstancia agravante, no prevé la inexistencia de infracción previa como circunstancia atenuante. - Por otra parte, asegura ING que las actuaciones llevadas a cabo para identificar al proveedor no pueden ser calificadas como incumplimiento. No obstante, se subraya que la circunstancia valorada es la ausencia de control que el responsable tiene respecto a sus encargados, al desconocer quién tenía encomendado el servicio y no contactar con DYNAMIC hasta septiembre de 2023, 7 meses más tarde y raíz del traslado de la reclamación efectuado por la AEPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/43 todo ello obviando las numerosas ocasiones en las que el afectado se puso en contacto con ING para alertar sobre la situación. En relación con los ejemplos de otros procedimientos sancionadores resueltos por la AEPD, conviene precisar que, de conformidad con el artículo 83.2 del RGPD las multas se han de imponer atendiendo a las circunstancias del caso individual y que su cuantía, en cada caso individual, ha de tener en cuenta las circunstancias concretas del caso concreto. A este respecto, las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD establecen que el punto de partida para la imposición de las multas se fijará conforme a tres elementos esenciales: el volumen de negocios de la reclamada, la tipificación de la infracción de acuerdo con el RGPD y el nivel de gravedad de esta. - Respecto a las alegaciones efectuadas por ING relativas a las circunstancias del artículo 83.2 del RGPD recogidas en el acuerdo de inicio: o En lo relativo a la ausencia de intencionalidad o negligencia en la medida en que DYNAMIC no alertó sobre el extravío de la documentación. Se da por reproducida la contestación a las alegaciones relativas a la ausencia de aviso por parte de DYNAMIC y cómo se ha puesto de manifiesto la inexistencia de un sistema de alerta temprana por parte de ING. Asimismo se insiste en que ING no ejercitó ninguna acción contra DYNAMIC por estos hechos y que, además, en la respuesta al traslado de la reclamación por parte de la AEPD, ING señaló: “(…) desde la empresa DYNAMIC nos han informado (…) de que efectivamente dicho documento fue extraviado, entendemos que probablemente debido a un error humano puntual. (…) Desde el punto de vista de acciones de carácter contractual, entendemos que no es necesario adoptar ninguna medida porque ING ya dispone en los contratos firmados con las empresas de mensajería con las que colabora acuerdos de niveles de servicios y de penalizaciones previstas para el caso de que los servicios no se presten adecuadamente. (…) Sin embargo, entendemos que el extravío del formulario se ha producido por un error puntual de la empresa de mensajería (…)”. o En cuanto a la alegación relativa a que no procede la aplicación del artículo 83.2
12. g)del RGPD, dado que los datos personales que contenía la documentación extraviada no se correspondían con los del artículo 9 del RGPD, se significa que la aplicación del artículo 83.2
13. g)procede en este caso. Algunos de los datos personales afectados, aun sin ser datos de categoría especial previstos en el artículo 9 del RGPD, tienen la consideración de sensibles en los términos previstos por las Directrices 04/2022 y son nombrados específicamente por estas: número de cuenta bancaria o copia completa del DNI. En este sentido se subraya que el DNI, por ejemplo, permite la identificación directa e inequívoca de una persona física. Tal y como establece el Real Decreto 1553/2005, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento especialmente sensible dentro del ecosistema de datos personales. Además, su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños patrimoniales o afectación al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/43 derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Además, no puede obviarse que la combinación de este tipo de datos personales (DNI y número de cuenta bancaria entre sí, así como con otro tipo de datos no considerados sensibles) eleva significativamente el nivel de riesgo para los derechos y libertades de sus titulares. Esto se debe a la circunstancia de que dicha combinación no solo aumenta la cantidad de información disponible para un actor malicioso, sino que también amplía el espectro de posibles abusos, dado que no se trata de datos aislados o piezas individuales de información, sino de la exposición de un conjunto integrado de datos personales que cuando se combinan, pueden ser utilizados para construir un perfil completo y detallado de un individuo. o En cuanto a la aplicación del agravante del artículo 76.2
14. b)de la LOPDGDD, respecto a la que ING asegura que la actividad de transporte es una actividad residual y que, por ende, no procede su aplicación, se debe precisar que el acuerdo de inicio no indica que la actividad principal de ING sea la recogida y transporte de documentación, sino que la realización de actividades financieras, que es la actividad principal de ING, implica forzosamente operaciones de tratamiento de datos personales de las personas físicas clientes (o potenciales clientes) de dicha entidad. Por tanto, la infracción se produce en el marco de un tratamiento de datos personales que habitualmente realiza el responsable en su negocio y que se encuentra estrechamente vinculado a este. o En cuanto a la alegación de que se deberían haber valorado como atenuantes las circunstancias de los artículos 83.2
15. e)y
16. k)del RGPD, se hace notar, que, tal y como señala la sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, no puede ser valorados como atenuantes, circunstancias que la norma prevé como agravantes. En concreto, señala: “considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
18. c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante.” Lo mismo ocurre en relación con el artículo 83.2 f), sin olvidar, además, que la cooperación con la autoridad de control por parte del responsable es una obligación prevista por el RGPD. En este sentido, la misma sentencia señala: “respecto de la propugnada aplicación como atenuante de la circunstancia
19. f)del artículo 83.2 del RGPD ' el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción’, basta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/43 remitirnos a lo expuesto en el Fundamento de Derecho para rechazar la aplicación de dicha atenuante”. Por otra parte, tampoco puede utilizarse como atenuante el artículo 83.2 g), porque, tal y como se ha explicado, las Directrices 04/2022 incluyen expresamente datos personales que van más allá de los previstos en los artículos 9 y 10 del RGPD, que se encuentran presentes en este caso. Por último, en cuanto la aplicación del atenuante contenido en el artículo 83.2
20. j)del RGPD, se remarca que este artículo hace referencia a los códigos de conducta previstos por los artículos 40 del RGPD, esto es, en materia de protección de datos. Los alegados por la parte reclamada se refieren a códigos de conducta en el ámbito penal y de blanqueo de capitales. Sin perjuicio de lo anterior, se recalca que, en el presente caso, a la hora de valorar las circunstancias determinantes para la imposición de una multa, debe tenerse en cuenta, además del número de afectados (tanto concretos como potenciales), la duración del contrato entre ING y DYNAMIC, que no superó los 6 meses, como uno de los elementos esenciales del artículo 83.2
21. a)del RGPD, lo que, previsiblemente suponga una disminución de la cuantía prevista en el acuerdo de inicio. V Obligación incumplida. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
22. a)la seudonimización y el cifrado de datos personales;
23. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
24. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
25. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/43 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." En este sentido, el considerando 74 del RGPD establece que: “

(74)Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas”. Por su parte, las Directrices 7/2020 del CEPD determinan que (el subrayado es de la AEPD): “125. El artículo 32 requiere que el responsable y el encargado apliquen medidas técnicas y organizativas de seguridad apropiadas. Aunque esta obligación ya se impone directamente al encargado cuyas operaciones de tratamiento entran en el ámbito de aplicación del RGPD, el deber de adoptar todas las medidas necesarias en virtud del artículo 32 debe quedar reflejado en el contrato en relación con las actividades de tratamiento confiadas al encargado. 126. Tal como se ha indicado previamente, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGDP: debe incluir o hacer referencia a información sobre las medidas de seguridad que se adoptarán, la obligación del encargado de obtener la aprobación del responsable antes de realizar cualquier cambio y una revisión periódica de las medidas de seguridad a fin de garantizar su adecuación a los riesgos, que pueden variar con el tiempo. El grado de detalle de la información sobre las medidas de seguridad que debe incluirse en el contrato debe poder permitir al responsable evaluar la adecuación de las medidas con arreglo al artículo 32, apartado 1, del RGPD. Esta descripción también es necesaria para que el responsable pueda cumplir con su deber de responsabilidad proactiva previsto en el artículo 5, apartado 2, y en el artículo 24 del RGPD en relación con las medidas de seguridad impuestas al encargado. Del artículo 28, apartado 3, letras

1. f)y h), del RGPD, puede inferirse la correspondiente obligación del encargado de asistir al responsable y de poner a su disposición toda la información necesaria para demostrar el cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/43 127. El nivel de detalle de las instrucciones dadas por el responsable al encargado acerca de las medidas que se aplicarán dependerá de las circunstancias del caso. En algunos casos, el responsable puede proporcionar una descripción clara y detallada de las medidas de seguridad que deben aplicarse. En otros casos, el responsable puede describir los objetivos mínimos de seguridad que deben alcanzarse y solicitar al encargado que proponga la aplicación de medidas de seguridad concretas. En todo caso, el responsable debe proporcionar al encargado una descripción de las actividades de tratamiento y los objetivos de seguridad (en función de la evaluación del riesgo del responsable), además de aprobar las medidas propuestas por el encargado. Esto podría incluirse en un anexo al contrato. El responsable ejerce su poder de decisión sobre los elementos esenciales de las medidas de seguridad, bien indicando expresamente las medidas, bien aprobando las medidas propuestas por el encargado”. Por tanto, el citado artículo 32 del RGPD tiene como objetivo garantizar un nivel de seguridad adecuado al riesgo, en relación con un tratamiento de datos personales, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. Así, el responsable y el encargado del tratamiento (conforme a las instrucciones facilitadas por el responsable) aplicarán medidas técnicas y organizativas apropiadas de seguridad para garantizar dicho nivel de seguridad adecuado al riesgo. No obstante, la obligación establecida en el artículo 32 del RGPD implica, con carácter previo, contar con medidas tendentes a evitar una potencial brecha de datos personales, pero, también ser capaz de identificarla a la mayor brevedad y abordarla adoptando las medidas necesarias para paliar sus efectos o poner fin a los mismos. Así las cosas, el considerando 87 del RGPD deja entrever la obligación de contar con medidas preventivas y detectoras que eviten potenciales brechas de datos personales y que, en caso de que estas llegaran a producirse, permitan su identificación y posterior corrección a la mayor brevedad: “87 Debe verificarse si se ha aplicado toda la protección tecnológica adecuada y se han tomado las medidas organizativas oportunas para determinar de inmediato si se ha producido una violación de la seguridad de los datos (…)” En la misma línea se pronuncian las Directrices 9/2022, sobre la notificación de las violaciones de la seguridad de los datos personales en el marco del RGPD adoptadas por el Comité Europeo de Protección de Datos (CEPD), cuando hacer referencia a la necesidad de contar con medidas que permitan detectar y subsanar una potencial brecha de datos personales: “37. Por tanto, el responsable del tratamiento debe disponer de procesos internos para poder detectar y subsanar una violación. Por ejemplo, para encontrar algunas irregularidades en el tratamiento de los datos, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/43 responsable o el encargado del tratamiento pueden utilizar ciertas medidas técnicas, tales como analizadores de flujo de datos y de registro, a partir de los cuales es posible definir eventos y alertas mediante la correlación de cualquier dato de registro. . 41. El artículo 32 del RGPD deja claro que el responsable y el encargado del tratamiento deben disponer de las medidas técnicas y organizativas adecuadas para garantizar un nivel adecuado de seguridad de los datos personales: la capacidad para detectar, abordar y notificar una violación en tiempo oportuno debe considerarse un elemento esencial de estas medidas”. En el presente supuesto, el objeto del contrato entre ING y DYNAMIC consistía en la recogida de documentación de clientes o potenciales clientes relativa a una nueva alta como interviniente en una cuenta, a una nueva alta como cliente o para lo relativo a la concesión de un préstamo premium, de acuerdo con la información contenida en el Anexo V del contrato. Por tanto, la documentación que solía remitirse a ING a través del servicio de mensajería, además de exigir una copia completa del DNI, contenía una pluralidad de datos personales. Así, en el caso de la parte reclamante, que remitió la documentación exigida a efectos de la tramitación de una nueva alta como interviniente en una cuenta, los datos personales incluidos en la documentación extraviada fueron: nombre, apellidos, número de DNI, fecha de nacimiento, país de nacimiento, nacionalidad, país de residencia fiscal, dirección de correo electrónico, número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica. Entre las medidas de seguridad mínimas exigidas por ING a DYNAMIC en el ANEXO IV del contrato, reproducidas en el antecedente de hecho segundo, no figura ninguna medida de seguridad relativa a garantizar la trazabilidad de los envíos de documentación para conocer en todo momento la ubicación precisa del mismo. Es más, todas las medidas se encuentran destinadas a asegurar la disponibilidad de los datos en los sistemas de información o garantizar la seguridad física de los paquetes. A este respecto, tal como se ha indicado previamente, al responsable le corresponde verificar que las medidas implementadas por el encargado siguiendo sus instrucciones funcionan, aun cuando ING asegure que los protocolos y procedimientos definidos por la red de mensajería son “responsabilidad exclusiva” de dichas empresas y aun cuando en el contrato entre el encargado y el responsable se recoja de manera genérica la obligación del encargado del tratamiento de “(…)”. No en vano y vinculado a lo anterior, conviene remarcar que el artículo 24 del RGPD, al hablar de la responsabilidad del responsable del tratamiento, señala que “teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. Además, estrechamente ligado a la ausencia de medidas de trazabilidad de los envíos de documentación, resulta llamativo que ING desconociera la identidad de los encargados o empresas de transporte con las que trabajaba en esas fechas en función C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/43 de la localidad o zona de recogida, por ejemplo, y que y careciera de la información precisa -que permitiera la trazabilidad del envío desde el origen hasta el destino- sobre la empresa encargada de realizar una determinada recogida, en caso de existir varias opciones. Es decir, cuando el 6 de febrero de 2023 la parte reclamante alerta a ING sobre el posible extravío de su documentación y le facilita, de acuerdo con lo que figura en el parte de incidencias, el nombre de la compañía que realizó la recogida, el número de seguimiento del envío o, incluso, el nombre del mensajero, la reacción de ING consiste en verificar con la empresa encargada de la gestión de la documentación recibida si esta ha llegado. Tras recibir respuesta negativa y tras sucesivas llamadas de la parte reclamante, no es hasta el día 13 de febrero que ING se pone en contacto con la empresa de transporte para reclamar la documentación. No obstante, es con la empresa ***EMPRESA.1 con la que contacta por ser “la más habitual”, en lugar de con la empresa DYNAMIC, encargada de realizar la recogida en este caso concreto. A 16 de mayo de 2023, ING persiste en su confusión, tal y como demuestra la comunicación remitida a la parte reclamante en esa fecha en el marco del expediente generado a raíz de la reclamación ante la OMIC del ***AYUNTAMIENTO.1 en la que le comunica que se ha vuelto a requerir información a ***EMPRESA.1. Por tanto, la solicitud de información a DYNAMIC en tanto que encargado de la recogida de la documentación extraviada no se produce hasta el 1 de septiembre de 2023, cuando la relación contractual entre ambas había llegado a su fin el 28 de febrero de 2023. De la misma manera, de la documentación obrante en el expediente, se pone de manifiesto que ING carecía de medidas de alerta temprana que le permitieran la identificación y rápida detección de una brecha de datos personales. Puesto que, si bien asegura que su encargado debía haberle hecho la entrega en 24 horas desde la recogida, cuando esta no se produjo, ING no realizó ninguna actuación puesto que no tenía constancia del retraso. Asimismo, tampoco reaccionó cuando el 2 de febrero el afectado le alertó sobre lo ocurrido, a pesar de que se habría superado el plazo de 24 horas de entrega desde la recogida que asevera ING. Al contrario, no realizó la apertura de una incidencia hasta 4 días más tarde, ante una nueva llamada de este. Además, en los comentarios internos de ING de cara a la resolución de la incidencia, tanto en los días 9 y 16 de febrero ya se señala que la solución es solicitar al cliente que remita de nuevo la documentación, lo que pone en evidencia que no realizó mayores actuaciones de cara a determinar qué había ocurrido y por qué, así como la inexistencia de un protocolo de actuación en estos supuestos. Lo anterior pone de manifiesto que ING carecía, al menos durante toda la vigencia del contrato con DYNAMIC, de una adopción e implementación efectiva de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que tuvieran por objeto garantizar el control de las entregas postales, estableciendo un sistema viable de comprobación de la trazabilidad de la documentación enviada, así como, estrechamente relacionado con lo anterior, un sistema de seguimiento de reclamaciones que permitieran realizar una rápida detección de brechas de datos personales. Igualmente, tampoco contaba con medidas como, por ejemplo, mediciones, inspecciones periódicas en la red de reparto, auditorías internas, circulación de envíos test o la implantación de panelistas internos o externos a efectos de determinar la ubicación de la documentación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/43 En definitiva, a raíz del extravío de la documentación remitida por la parte reclamante a través de los canales oficialmente establecidos por el responsable del tratamiento y con independencia de esa brecha de disponibilidad de datos personales, se ha puesto de manifiesto la ausencia de medidas de seguridad suficientes en los términos determinados por el artículo 32 del RGPD durante la vigencia del contrato entre el responsable del tratamiento y su encargado, en concreto, medidas de trazabilidad de los envíos de documentación, así como de alerta temprana de incidentes y potenciales brechas de datos personales. Por tanto, de conformidad con las evidencias de las que se dispone en este momento procesal, se considera que los hechos conocidos son constitutivos de una infracción, imputable a ING, por vulneración del artículo 32 del RGPD anteriormente transcrito. VI Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
2. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
3. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679." VII Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/43 Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
4. a)a
5. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
6. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
7. b)la intencionalidad o negligencia en la infracción;
8. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
9. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
10. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
11. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
12. g)las categorías de los datos de carácter personal afectados por la infracción;
13. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
14. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
15. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
16. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
17. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
18. a)El carácter continuado de la infracción.
19. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
20. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
21. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
22. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/43
23. f)La afectación a los derechos de los menores.
24. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
25. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
26. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En cualquier caso, la multa debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de ING España y Portugal de 1.091.000.000 euros en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.4 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 10.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 2% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 2% del volumen de negocio de ING es de 21.820.000 euros. Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre los 0 y los 21.820.000 euros. Asimismo, en relación con el nivel de gravedad en los términos del RGPD, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD: sin perjuicio de que el procedimiento sancionador se tramite a raíz de una reclamación, los hechos conocidos ponen de manifiesto una ausencia de medidas de seguridad que afecta a la totalidad de sus clientes que hicieran uso de los sistemas de mensajería de su encargado facilitados por ING durante el periodo de vigencia de su contrato con DYNAMIC, ya fuera para la remisión de documentación relativa a una nueva alta como interviniente en una cuenta, la correspondiente a una nueva alta como cliente o para lo relativo a la concesión de un préstamo premium, de acuerdo con la información contenida en el Anexo V del contrato. Asimismo, se resalta que la documentación que suele remitirse a través de los servicios de mensajería, además de exigir una copia completa del DNI, contiene una pluralidad de datos personales. Así, en el caso de la parte reclamante los datos afectados fueron: nombre, apellidos, número de DNI, fecha de nacimiento, país de nacimiento, nacionalidad, país de residencia fiscal, dirección de correo electrónico, número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/43 Se destaca que ING aumentó en 256.000 su número de clientes en 2022 y en 330.000 clientes en 2023. Además, se señala que la duración del contrato abarcó desde el 1 de septiembre de 2022 hasta el 28 de febrero de 2023, no superando los 6 meses. - Intencionalidad o negligencia graves en la infracción (artículo 83.2, letra b), del RGPD): Se aprecia negligencia, en la medida en que, de la cronología de las actuaciones llevadas a cabo por parte de ING desde que fue alertada por la parte reclamante de la posible infracción, se pone de manifiesto una ausencia del control debido del responsable respecto a sus encargados, incluyendo la identidad de estos. Así, ING no contactó con DYNAMIC hasta el 1 de septiembre de 2023 aun cuando disponía de toda la información referente a la recogida de la documentación desde febrero de 2023, por haber sido esta proporcionada por la parte reclamante. - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…)el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, la documentación objeto de transporte, dirigida a una entidad bancaria y que, en este caso concreto ha sido extraviada, incluye tanto el número del DNI, como una copia completa del mismo, asimismo, en el interior del sobre extraviado figura el número de cuenta bancaria, entre otros datos. El tratamiento de estos datos supone un riesgo para la privacidad del afectado, debido a que, de producirse un acceso por un tercero ajeno al conjunto de datos que contiene el DNI y a la propia imagen de este documento, junto con la documentación bancaria, puede dar lugar a su utilización para la realización de fraude mediante la suplantación de identidad del interesado. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): ING, como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, no solo en lo relativo a la remisión (y posterior recepción por parte de ING) de documentación por parte de clientes o potenciales clientes a través de empresas de transporte en los términos establecidos por la propia empresa. En definitiva, la realización de actividades financieras, que es la actividad principal de ING, implica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/43 forzosamente operaciones de tratamiento de datos personales de las personas físicas clientes (o potenciales clientes) de dicha entidad, no únicamente respecto a la documentación remitida por estos por los canales establecidos por la responsable sino para todo tipo de actividades. Así, la infracción se produce en el marco de un tratamiento de datos personales que habitualmente realiza el responsable en su negocio y que se encuentra estrechamente vinculado a este. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento procesal se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite proponer una sanción de multa administrativa de 500.000,00 euros. VIII Medidas correctivas Una vez confirmada la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 32 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
27. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. No obstante, en el presente caso se subraya que la infracción se produce en el marco de un contrato de encargo entre ING y DYNAMIC que finalizó el 28 de febrero de 2023, por lo que se estima que no procede la imposición de medidas. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN - Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 500.000 euros (quinientos mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 400.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/43 correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a esta reducción, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-050325 R.R.R. INSTRUCTOR ANEXO (…) >> SEGUNDO: En fecha 22 de agosto de 2025, ING ha procedido al pago de la sanción en la cuantía de 400.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/43 Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II