1/12 Expediente N.º: EXP202102442 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 7 de septiembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Unión de Oficiales Guardia Civil Profesional con NIF G85478576 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el 7 de septiembre de 2021 recibió, en su puesto de trabajo, una carta remitida por la parte reclamada, figurando en el sobre sus datos, sin haberlos aportado previamente, ni formar parte de dicha asociación. Y, se adjunta la siguiente documentación: Carta remitida por la parte reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7 de octubre de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 3 de noviembre de 2021 se recibe en esta Agencia escrito de respuesta manifestando: “que la reclamación y, por ende, el tratamiento de datos personales no forma parte del ámbito de aplicación de la normativa europea y nacional en protección de datos personales. Dicha argumentación se encuentra basada en la propia tesis mantenida por la propia Agencia de Protección de Datos en el TD/01217/2018 – R/01690/2018, en la que expresamente dice: “En definitiva, pues, tanto las personas jurídicas como los profesionales que presten sus servicios en aquéllas quedan fuera del ámbito competencia del RGPD” “Que esta Asociación tiene el carácter profesional que, a tal efecto, le confiere la LO 11/2007, reguladora de los derechos y deberes de los miembros de la Guardia Civil, vela por los derechos e intereses de los profesionales que conforman el cuerpo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Guardia Civil y, entre ellos, destaca la protección a todos sus componentes, en particular oficiales, sean o no asociados a la misma. La documentación aportada por el reclamante ha sido remitida al puesto profesional según consta en el escalafón del Cuerpo de la Guardia Civil, siendo la finalidad informativa y no propagandística. No persigue fin electoral ni está abierta ninguna campaña electoral, por lo que nada impide que la Asociación ejerza su actividad ordinaria con normalidad. La fuente para recabar los datos es de acceso público restringido (Guardias Civiles), obtenidos de los listados publicados como Escalafones de los efectivos conforme a la OM 108/94, de 28 de octubre, sobre Normas para la Elaboración de los Escalones de las Fuerzas Armadas y Guardia Civil y Ley 29/2014, de Régimen del Personal de la Guardia Civil. Los datos insertos reproducidos en el sobre tienen el carácter de dato profesional y el contenido es meramente informativo de la creación y puesta a disposición del colectivo de oficiales de una aplicación informática de carácter profesional creada por la Asociación. La carta ordinaria se ha remitido una sola vez y se ha insertado en el sobre los datos profesionales indispensables para la identificación del destinatario y que dicho sobre llegase hasta él. Concluye que no le consta derecho alguno ejercido por parte del reclamante”. TERCERO: Con fecha 7 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 22 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba: “que en el artículo 36 de la ley Orgánica 11/2007, de 22 de octubre se encuentra la base legitimadora para el tratamiento de datos personales, no excluye de las funciones encomendadas a la Asociación la defensa e intereses de los no asociados, puesto que dicho artículo diferencia dos tipos de sujetos o colectivos, así como tres tipos de finalidades. Respecto a los sujetos o colectivos, dicho artículo 36 diferencia los denominados asociados y los denominados miembros y, lo hace expresamente dicho artículo, efectuando una clara diferenciación y alusión a ambos sujetos o colectivos. La comunicación llevada a cabo por la Asociación, la cual ha sido efectuada una única vez, es consecuencia de la actividad social dirigida a favorecer la eficiencia del ejercicio profesional, y que más eficiencia, que la de informar conforme el derecho que ostentan los miembros de la Guardia Civil de una herramienta exclusiva para dichos miembros donde poder disponer de información relevante para el ejercicio profesional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 Respecto a la fuente de acceso restringido, dicha fuente es pública y restringida a través de la Intranet de la Guardia Civil, aportando como Documento número 1 pantallazo de aquella en la que se puede observar y visualizar la puesta a disposición de dicha fuente. La publicación de los datos personales de los afectados (miembros de la Guardia Civil) en estos casos es, por tanto, ajena a su voluntad. La establece una norma y se justifica por el interés público restringido que persigue. El tratamiento ulterior por parte de la Asociación igualmente persigue una finalidad idéntica en interés de los afectados en dichas publicaciones, es decir, el interés informativo conforme al artículo 7 Ley 11/2007. La Asociación considera que no existe un medio menos invasivo para alcanzar la misma eficacia que el listado de Escalafón publicado por la Guardia Civil para poder tratar los datos con un fin ulterior acorde a derechos fundamentales. Respecto a la comprobación del juicio de proporcionalidad respecto a la medida restrictiva para el afectado, como es conocido, se ha de superar o acreditar los juicios de idoneidad; juicio de necesidad; y finalmente el juicio de proporcionalidad en sentido estricto. Juicio de idoneidad, no se dispone del DNI sino simplemente de los datos y apellidos del Escalafón y el destino profesional en el presta servicios dentro del Cuerpo de la Guardia Civil, datos que son incluidos en el ensobre y no en la propia comunicación, sin carácter comercial sino informativo en interés de su profesión, siendo datos profesionales y no personales. Juicio de Necesidad. No creemos que sea necesario redundar en dicho juicio, indicando que el tratamiento es proporcional, ocasional, no existiendo, a fecha presente, medios menos intrusivos para el afectado. Expectativas. El afectado no pierde el control de sus datos personales del Escalafón. Solicita archivar el procedimiento sancionador o subsidiariamente sancionar con advertencia o apercibimiento o minorar la propuesta de la sanción”. SEXTO: Con fecha 17 de marzo de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por Unión de Oficiales Guardia Civil Profesional, y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 25 de abril de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a Unión de Oficiales Guardia Civil Profesional con NIF G85478576 por una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 6.000 euros (seis mil euros). OCTAVO: Notificada la propuesta de resolución, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba: “que el reclamante recibió la comunicación en su puesto de trabajo, estamos ante una clara excepción de la aplicación de la normativa de protección de datos, puesto el reclamante presta servicios en la Guardia Civil y el tratamiento de datos no tiene un interés particular sino un claro interés profesional. Así mismo, en caso de que la precedente afirmación no cupiera, igualmente, la propia LOPDGDD en su artículo 19 establece la denominada presunción iuris tantum, permitiendo el tratamiento en base al interés legítimo del artículo 6.1
- f)RGPD, permitiendo el tratamiento de los datos de contacto y en su caso los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica. Dado que los datos del reclamante afectan no a su esfera privada sino a su esfera profesional, la normativa de protección de datos no es aplicable y, en caso de que, así fuera, la presunción iuris tantum del artículo 19 devengaría que el tratamiento efectuado por la reclamada (Asociación) es conforme a derecho y, por tanto, la licitud del tratamiento estaría amparada en el interés legítimo del artículo 6.1
- f)RGPD. Esta parte entiende que cuando existe una intranet existe una restricción y dicha restricción es levantada por el acceso que la Guardia Civil concede a las asociaciones a través de recurso propio proporcionado por la propia Guardia Civil y, por ende, con la posibilidad de acceso a dicha información restringida, no sólo por parte de todos sus miembros (profesional) sino por parte de las Asociaciones por personal autorizado, estando dicha autorización concedida legalmente por parte de la normativa propia afecta a los listados de escalafones de los miembros del cuerpo. Que esta parte se mantiene y confirma todas las alegaciones y documentos que hasta la fecha se han presentado ante la AEPD, indicando que, en caso, que no se estime el presente escrito en su totalidad y, por ende, nuestra solicitud de archivo al menos minore o proceda a realizar apercibimiento conforme a las medidas correctoras que esta parte ya aportó en su momento.” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Se constata que la parte reclamante el 7 de septiembre de 2021 recibió en su puesto de trabajo, una carta remitida por la parte reclamada, figurando en el sobre sus datos, sin haberlos aportado previamente, ni formar parte de dicha asociación. SEGUNDO: Carta remitida por la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente en relación con la interpretación que realiza la parte reclamada sobre el artículo 36 de la Ley Orgánica 11/2007, hay que señalar que el artículo 36 está encuadrado dentro del Título VI <<De las asociaciones profesionales>> y el enunciado del artículo 36. <<Ámbito, duración y finalidad de la asociación>>. <<Las asociaciones profesionales de Guardias Civiles deberán tener ámbito estatal, se constituirán por tiempo indefinido y tendrán por finalidad principal la satisfacción de los intereses sociales, económicos y profesionales de sus asociados y la realización de actividades sociales que favorezcan la eficiencia en el ejercicio de la profesión y la deontología profesional de sus miembros. En ningún caso estas asociaciones profesionales tendrán carácter lucrativo.>> Pues bien, tanto el título como el enunciado del artículo, se refiere a las asociaciones profesionales y señala la satisfacción de los intereses sociales, económicos y profesionales de sus asociados y la realización de actividades sociales que favorezcan la eficiencia en el ejercicio de la profesión y la deontología profesional de sus miembros, está claro que hace referencia a los miembros de la asociación y no a los miembros del Cuerpo de la Guardia Civil. Por lo tanto, es preciso señalar que el artículo 36 de la Ley Orgánica 11/2007, de 22 de octubre, prevé que las funciones de las asociaciones profesionales de Guardias civiles se dirigen a la defensa de derechos e intereses de sus asociados, en contra de lo afirmado por la reclamada. El uso el listado de escalafón publicado por la Guardia Civil está restringido y no justifican la base de legitimación, no hacen la ponderación del interés legítimo, ni ofrecen garantías a los destinatarios como un derecho de oposición, aunque indica en su escrito de alegaciones que va a dar pleno cumplimiento al apartado 3 del artículo 65, al proponer medida correctora (inclusión de derecho de oposición), pero en la presente reclamación dicha garantía no estaba incluida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 Por otra parte, en relación con la alegación formulada por la parte reclamada “de que la reclamación y, por ende, el tratamiento de datos personales no forma parte del ámbito de aplicación de la normativa europea y nacional en protección de datos personales. Dicha argumentación se encuentra basada en la propia tesis mantenida por la propia Agencia de Protección de Datos en el TD/01217/2018 – R/01690/2018, en la que expresamente dice: En definitiva, pues, tanto las personas jurídicas como los profesionales que presten sus servicios en aquéllas quedan fuera del ámbito competencia del RGPD” El Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), establece en su artículo 1: “1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. 3. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales”. Es importante resaltar que la normativa se aplica únicamente a los datos de personas físicas, sin que, por tanto, sea de aplicación a las personas jurídicas. Según el artículo 4.1) del RGPD son «datos personales»: toda información sobre una persona física identificada o identificable («el interesado») (…). En consecuencia, son datos personales tanto los datos de las personas físicas que trabajan en personas jurídicas, como los datos relativos a los empresarios individuales y a los profesionales liberales. Como asimismo se desprende del artículo 19 de la LOPDGDD, que, al referirse al tratamiento de datos de contacto, de empresarios individuales y de profesionales liberales, establece una presunción de licitud cuando el tratamiento de los datos de aquéllos se realiza para mantener relaciones con la persona jurídica o en su condición de empresario o profesional, siempre que no se traten para entablar una relación con los mismos como personas físicas. Así el citado artículo recoge lo siguiente: “1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo 6.1.
- f)del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su caso los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica siempre que se cumplan los siguientes requisitos:
- a)Que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
- b)Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios. 2. La misma presunción operará para el tratamiento de los datos relativos a los empresarios individuales y a los profesionales liberales, cuando se refieran a ellos únicamente en dicha condición y no se traten para entablar una relación con los mismos como personas físicas. 3. Los responsables o encargados del tratamiento a los que se refiere el artículo 77.1 de esta ley orgánica podrán también tratar los datos mencionados en los dos apartados anteriores cuando ello se derive de una obligación legal o sea necesario para el ejercicio de sus competencias.” Por tanto, no cabe duda, que en el presente caso se han tratado datos personales y que dicho tratamiento sí entra dentro de las competencias de esta Agencia, según lo dispuesto en art. 1 del RGPD, ya que la reclamación se circunscribe al tratamiento de datos personales del reclamante (persona física). Asimismo, en relación con la alegación formulada por la parte reclamada sobre que la propia LOPDGDD en su artículo 19 establece una presunción iuris tantum, permitiendo el tratamiento en base al interés legítimo del artículo 6.1
- f)del RGPD de los datos de contacto y de los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica, procede reiterar que el artículo 19 de la LOPDGDD, con respecto al tratamiento de los datos de contacto de personas físicas que trabajan en personas jurídicas, así como de los empresarios individuales y de los profesionales liberales, indica que, salvo prueba en contrario, se presumirá amparado en el interés legítimo el tratamiento de estos datos siempre que no se traten para entablar una relación con sus titulares como personas físicas, situación que ha ocurrido en el caso aquí analizado, por lo que no resulta aplicable la presunción de licitud contenida en el referido artículo. Por tanto, la presunción de que existe un interés legítimo en el tratamiento de estos datos solo afecta a las relaciones “B2B”, relaciones comerciales con otra empresa. III El artículo 6 del RGPD, “Licitud del tratamiento”, detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción de la que se responsabiliza a la entidad reclamada se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV La documentación que obra en el expediente evidencia que la parte reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la parte reclamante sin que tuviese ninguna legitimación para ello. La parte reclamada trató los datos del reclamante sin base de legitimación del tratamiento de los datos personales. Por otra parte, la aplicación del interés legítimo como base de legitimación del tratamiento requiere de una ponderación o evaluación. La ponderación debe demostrar que existe un interés legítimo para el tratamiento de los datos, que el tratamiento es necesario y proporcional en atención a su finalidad y que no prevalecen los derechos y libertades fundamentales del interesado. Sin embargo, y esto es lo esencial, la reclamada no acredita la base de legitimación para el tratamiento de los datos de la parte reclamante, no hace ponderación del interés legítimo ni ofrecen garantías a los destinatarios como un derecho de oposición, y tan sólo manifiesta que la fuente para recabar los datos es de acceso público restringido, sin explicar la finalidad de publicación de tales listados o por qué es de acceso restringido. Los datos personales publicados en fuentes de acceso público restringido no pueden tratarse libremente, el responsable deberá analizar si la finalidad del nuevo tratamiento que se persigue es compatible con la finalidad del tratamiento original. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 Adicionalmente, es preciso señalar que el artículo 36 de la Ley Orgánica 11/2007, de 22 de octubre, prevé que las funciones de las asociaciones profesionales de Guardias civiles se dirigen a la defensa de derechos e intereses de sus asociados, en contra de lo afirmado por la reclamada: “Las asociaciones profesionales de Guardias Civiles deberán tener ámbito estatal, se constituirán por tiempo indefinido y tendrán por finalidad principal la satisfacción de los intereses sociales, económicos y profesionales de sus asociados y la realización de actividades sociales que favorezcan la eficiencia en el ejercicio de la profesión y la deontología profesional de sus miembros” V A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
- k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de infracción, que no puede imputarse a la entidad absorbente. la
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos a efectos de fijar el importe de la sanción de multa a imponer a la parte reclamada, como responsable de una infracción tipificada en el artículo 83.5.
- a)del RGPD, se estiman concurrentes los siguientes factores: Se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD, considerando como agravante La vinculación de la actividad del infractor con la realización del tratamiento de datos personales (art. 83.2 k del RGPD en relación con el art. 76.2 b de la LOPDGDD). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 PRIMERO: IMPONER a UNION DE OFICIALES DE LA GUARDIA CIVIL PROFESIONAL, con NIF G85478576, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 6.000 euros (seis mil euros). SEGUNDO: NOTIFICAR la presente resolución a UNION DE OFICIALES DE LA GUARDIA CIVIL PROFESIONAL. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es