← España

PS-00021-2017

1/11 Procedimiento Nº PS/00021/2017 RESOLUCIÓN: R/00727/2017 En el procedimiento sancionador PS/00021/2017, instruido por la Agencia Española de Protección de Datos a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., vista la denuncia presentada por POLICIA LOCAL DE ONTINYET, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7 de junio de 2016 tiene entrada en esta Agencia un escrito-informe de 30/05/2016 de la POLICIA LOCAL DE ONTINYET (en lo sucesivo el denunciante) en el que declara que el día 06/05/2016 a las 16:00 horas, detectó una bolsa grande de basura de color negro en el suelo de la calle (C/...1), junto a los contenedores situados frente a la glorieta, observando que en su interior había documentos con datos personales y restos de otros destruidos con una destructora de documentos. Sigue manifestando el denunciante, que de la inspección ocular de los documentos se constató que procedían de la entidad bancaria “BBVA”, situada en la (C/...2), de la referida localidad, y que entre éstos aparecían cláusulas bancarias, propuestas de productos bancarios, acuses de envíos de transporte urgente, datos personales y emails de clientes, documentos contables, sobre con datos de remitente, notas manuscritas con datos personales de clientes, datos personales y número de tarjeta de crédito, justificantes de entrega de correos certificados, etc. Junto con su informe, se adjuntan fotografías de diferentes documentos encontrados. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., teniendo conocimiento de que:

  1. a)La entidad cuenta con un documento de Archivo y Conservación de la documentación, el cual es distribuido a todas las Oficinas y cuya copia se adjunta al escrito.
  2. b)Los hechos ocurridos fueron motivados por un error de una empleada de la empresa que presta servicios de limpieza a BBVA. El BBVA ante el ante la petición de información de esta Agencia, presentó la siguiente documentación: 1.-Norma sobre el archivo y conservación de documentación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 2.-Norma de destrucción de documentación con datos personales. 3.-Contrato de prestación de servicios de Facility Management de inmuebles de uso propio en España, entre el BBVA, S.A. y JOHNSON CONTROLS GWS, S.L y JOHNSON CONTROLS INC, si bien, manifiesta que presenta el contrato entre BBVA y la empresa INTERACTIVA IBERGEST SLU, que presta los servicios de limpieza a BBVA. TERCERO: Con fecha 03 de febrero de 2017 la Directora de la Agencia Española de Protección de datos acordó iniciar procedimiento sancionador al BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 9 de la LOPD, en relación con el 92.4 del RLOPD tipificada como grave en el artículo 44.3.
  3. h)de la citada Ley, y donde se proponía una sanción de 6.000€ por la aplicación de alguno de los criterios recogidos en los apartados 4 y 5 del artículo 45 de la LOPD. Asimismo, se le otorgaba un plazo de DIEZ DÍAS HÁBILES para formular las alegaciones y proponer las pruebas que considerara oportunas. El referido acuerdo fue notificado a la entidad denunciada el 09/02/2017, como así lo acredita la certificación de entrega remitida por Correos e incorporada al expediente. CUARTO: A fecha de la presente, el BANCO BILBAO ARGENTARIA, S.A., no consta que haya presentado alegaciones. VIZCAYA HECHOS PROBADOS PRIMERO: Con fecha de 7 de junio de 2016 tiene entrada en esta Agencia un escrito-informe de 30/05/2016 de la POLICIA LOCAL DE ONTINYET en el que expone que el día 06/05/2016 encontró en la calle (C/...1), junto a unos contenedores, una bolsa de basura que contenía documentos con datos personales. SEGUNDO: Los referidos documentos procedían de la entidad bancaria “BBVA”, situada en la C/ Concepción, nº 14 de la localidad citada, y entre éstos constan cláusulas bancarias, propuestas de productos bancarios, acuses de envíos de transporte urgente, datos personales y emails de clientes, documentos contables, sobre con datos del remitente, notas manuscritas con datos personales de clientes, datos personales y número de tarjeta de crédito y justificantes de entrega de correos. De dichos documentos hay constancia fotográfica. TERCERO: En respuesta al requerimiento de información que le fue efectuado por los Servicios de Inspección de la AEPD, y en fase de actuaciones previas, la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 denunciada manifestó que cuenta con un documento de Archivo y Conservación de la documentación, el cual es distribuido a todas las Oficinas, y otro de Destrucción de Documentación con Datos Personales, que regula el procedimiento a seguir para la destrucción de documentación con información de clientes, o de otras personas con las que se relaciona la Entidad (empleados, proveedores, accionistas, etc), de ambos se aporta copia. Por último, la entidad denunciada manifestó que los hechos ocurridos fueron motivados por un error de una empleada de la empresa que presta servicios de limpieza a BBVA. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II El artículo 64.2.f de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPAC), dispone: “Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos:  Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación.  Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el precitado artículo 64.  Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación.  Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 sanciones imponible o de las responsabilidades susceptibles de sanción. La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994 por el que se aprueba el Reglamento de Procedimiento Sancionador en Materia de Tráfico, circulación de Vehículos a Motor y Seguridad Vial, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En este caso, en la notificación del acuerdo de inicio adoptado por la Directora de la Agencia Española de Protección de Datos se hacía referencia al referido artículo 64.2.f de la LPAC, advirtiendo a la entidad imputada sobre las consecuencias de no efectuar alegaciones. Dicho Acuerdo contiene un pronunciamiento preciso sobre las infracciones imputadas a la denunciada, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III De acuerdo a lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD (RLOPD), se procedió a la apertura del presente procedimiento sancionador al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción. Dichos indicios derivan de la localización en la vía pública de documentación procedente de la entidad denunciada, que contenía datos de carácter personal, y que ha estado accesible a terceros, lo que puede suponer, salvo prueba en contrario, una omisión del deber de adoptar o de observar las medidas técnicas y organizativas que garanticen las seguridad de dichos datos. IV El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” V El artículo 9 de la LOPD establece lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen aquella, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros y “perdida”. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
  5. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
  6. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  7. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 Sintetizando las previsiones legales puede afirmarse que:
  8. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  9. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  10. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
  11. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. La documentación encontrada entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentaria a este tipo de ficheros. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la confidencialidad y seguridad de los datos de carácter personal contenidos en los ficheros de la entidad bancaria. Siendo aquellas que deben ser adoptadas las calificadas de nivel medio, en atención al tipo de información sensible que se manejan las entidades financieras, y tal como se especifica en el art. 81.2d) del RD 1720/2007, de 21 de diciembre, (Reglamento de desarrollo de la LOPD). Por su parte, el artículo 92.4 del Reglamento de Desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, dispone: “Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior”. Esta previsión del artículo 92 es también de aplicación a los ficheros y tratamientos no automatizados, en virtud de la remisión que se hace desde el artículo 105.2.d. del citado Reglamento. Así, el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso a los datos contenidos en tales ficheros por parte de terceros. Sin embargo, ha quedado acreditado que incumplió esta obligación, y así mismo la propia entidad imputada reconoce los hechos denunciados en su escrito de fecha 15 de diciembre de 2016 donde “lamenta los hechos ocurridos el 6 de mayo de 2016 consistentes en la aparición de una bolsa junto a los contenedores en la Calle del Músico Vert de Ontintyent con varios documentos emitidos por las oficinas 0568 y 0568 de BBVA con datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 personal en su interior y que fue depositada por error de una empleada de la empresa INTERACTIVA IBERGGEST SLU que presta los servicios de limpieza a BBVA”. En el presente caso, ha quedado acreditado que la Policía Local del Ayuntamiento de Ontinyent constató que, el día 06/05/2016, en un lugar del término municipal de dicha localidad, se había depositado diversa documentación perteneciente a la entidad BBVA, en la que figuraban datos de carácter personal relativos a clientes de la misma. En concreto, en la documentación encontrada se aprecian cláusulas bancarias, propuestas de productos bancarios, acuses de envíos de transporte urgente, datos personales y emails de clientes, documentos contables, sobre con datos del remitente, notas manuscritas con datos personales de clientes, datos personales y número de tarjeta de crédito y justificantes de entrega de correos. Por tal motivo, dicha entidad incumplió las medidas de seguridad necesarias para evitar que los datos de que dispone en formato papel fuesen desechados correctamente, y no dando lugar a posibilitar su hallazgo por terceros, dejándolos al alcance del público en una zona pública. Por ello, procede concluir que el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. ha vulnerado el principio de seguridad en materia de protección de datos, que se encuentra recogidos en el artículo 9 de la LOPD. VI En cualquier caso, en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el extinto artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, disponía “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Hoy día, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público en su artículo 28, dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). VII El hecho constatado en el presente procedimiento, relativo al extravío de documentación procedente de la entidad denunciada, en un lugar accesible por terceros no interesados, supone una inobservancia del deber de adoptar las medidas de seguridad pertinentes por parte de la responsable del tratamiento. El artículo 44.3
  12. h)de la LOPD califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de BBVA se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos personales pudieran ser accedidos por un tercero, infracción que procede calificarla en el grado señalado. VIII El artículo 45.1, 2, 4 y 5 de la LOPD, establece: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. (…). 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  13. a)El carácter continuado de la infracción.
  14. b)El volumen de los tratamientos efectuados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11
  15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  16. d)El volumen de negocio o actividad del infractor.
  17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  18. f)El grado de intencionalidad.
  19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Debe tenerse en cuenta la interpretación establecida la Audiencia Nacional, en sus Sentencias, entre otras, de 24/05/2002 y 16/02/2005, “la presente regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 concreto, de forma que repugne a la sensibilidad jurídica, siempre guiada por el valor justicia, la imposición de la sanción correspondiente al grado. Lo cual insistimos puede darse, por excepción, en casos muy extremos y concretos.” Valorando las circunstancias concurrentes, se considera en el presente caso la circunstancia prevista en letra “a” del precitado artículo 45.5, por apreciarse una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. Se tiene en cuenta específicamente: 45.4.
  28. f)El grado de intencionalidad; como manifiesta la empresa, se trata de un error humano. 45.4.
  29. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida, tratamiento y destrucción de Ios datos de carácter personal. Por otra parte, teniendo en cuenta los criterios de graduación de las sanciones recogidos en el citado artículo 45.4 de la LOPD, se estima apreciar como circunstancias atenuantes las previstas en los apartados:
  30. a)Se trata de un hecho puntual, y no es de carácter continuado.
  31. e)Como consecuencia de la comisión de la infracción, no constan beneficios obtenidos.
  32. h)No constan perjuicios causados a las personas interesadas o a terceras personas. Por ello, procede imponer a a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A una sanción por importe de 6.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., por una infracción del artículo 9.1 de la LOPD (en relación con el artículo 92.4 del RD 1720/2007 de 21 de diciembre), tipificada como grave en el artículo 44.3.h de la LOPD, una multa de 6.000€ (seis mil euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., y a quienes aparezcan como interesados en el procedimiento administrativo. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.