← España

PS-00061-2024

1/15 Expediente N.º: EXP202317282 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO CETELEM, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202317282 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de octubre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO CETELEM, S.A. con NIF A78650348 (en adelante, CETELEM). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que CETELEM carga en su cuenta bancaria recibos de un préstamo de un tercero desconocido. Aporta varios extractos de dichos recibos, así como varias reclamaciones ante CETELEM junto con sus contestaciones, incluso una denuncia policial. Hay una primera serie de 8 recibos indebidamente cargados a la cuenta del reclamante nº ***CUENTA.1, entre los meses de julio y septiembre de 2022, a razón de dos recibos por mes. El 8 de agosto de 2022, la parte reclamante protestó ante CETELEM por el uso indebido de su cuenta bancaria, solicitando la supresión de los datos de su cuenta bancaria; exige además una explicación sobre la obtención de sus datos sin relación contractual previa. También reprochaba a CETELEM la atribución de su cuenta bancaria a una tercera persona, sin solicitarle previamente el certificado de titularidad bancaria pertinente. Adicionalmente, la parte reclamante solicitó y logró la devolución del importe de los recibos indebidamente cobrados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 Nuevamente un año después, en septiembre de 2023 desde CETELEM se carga en la cuenta de la parte reclamante un nuevo recibo de la misma deudora. La parte reclamante presenta una nueva reclamación a CETELEM el 21/09/23; no obstante, CETELEM volvió a cargar un nuevo recibo el día 2/10/23. Reacciona CETELEM el 20/10/23 acusando recibo de la reclamación, y, en su contestación de 23/10/23, justifica su actuación en que el número de la cuenta del reclamante es el que aparece en el contrato. Paralelamente el reclamante ha presentado también una denuncia en comisaría de ***LOCALIDAD.1 el 18 de septiembre de 2023. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04 de diciembre de 2023, como consta en el acuse de recibo que obra en el expediente. TERCERO: El 22 de diciembre de 2023 contesta CETELEM al requerimiento de información de la AEPD. CETELEM informa de que suprimió los datos de la cuenta del reclamante de su base de datos tras la primera reclamación, pero que vendió la deuda a una tercera empresa en junio 2023, y que en el contrato seguían figurando erróneamente el número de la cuenta bancaria del reclamante. A juicio de CETELEM, la responsabilidad por este nuevo incidente correspondería a la nueva empresa; no obstante, asumió las gestiones para resolver la nueva serie de cargos indebidos en la cuenta del reclamante. Concluye finalmente que los cargos indebidos de 2022 y 2023 en la cuenta del reclamante se han debido a errores humanos. CUARTO: Con fecha 29 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad BANCO CETELEM, S.A. es una empresa constituida en el año 1988 y con un volumen de negocios 64.855.216 euros en el año 2022. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida Tratamiento inicial sin licitud artículo 6 En el artículo 4.1 del RGPD “Definiciones” se estable que: “ A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” Artículo 6 Licitud del tratamiento 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

  1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15
  6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” CETELEM dispone del número de cuenta bancaria de la parte reclamante. A través de este número de identificación, el titular de la cuenta es una persona física identificable, por lo que este dato tendría el carácter de dato personal, de conformidad con el artículo 4 del RGPD. Reconoce CETELEM en varios de sus escritos, que el número de cuenta bancaria de la parte reclamante aparece en el contrato de una deudora, y, por ende, también en la base de datos de CETELEM. Por esa razón, se cobran los recibos de esta deudora del banco en la cuenta bancaria del reclamante. Aunque CETELEM parece apuntar, en su descargo, a errores en la transcripción inicial del número de cuenta, los dígitos de control de las cuentas bancarias prácticamente imposibilitan la “creación” por error de un número de cuenta auténtico. Esto significa, como indica el reclamante, que este error se debe a que CETELEM habría incorporado la cuenta bancaria del reclamante en el contrato de la deudora, sin asegurarse de la titularidad de la cuenta. A la vista de lo expuesto, parece claro CETELEM dispondría inicialmente del número completo de la cuenta bancaria del reclamante, pero no aclara satisfactoriamente cómo ha podido aparecer esta información en un contrato de un cliente de CETELEM, habida cuenta que el reclamante que no tiene, ni ha tenido relación contractual previa con esta entidad. Entre los meses de julio y septiembre de 2022, CETELEMA carga indebidamente serie de 8 recibos en la cuenta del reclamante nº ***CUENTA.1, a razón de dos recibos por mes. El 8 de agosto de 2022, la parte reclamante protestó ante CETELEM por el uso indebido de su cuenta bancaria, solicitando la supresión de los datos de su cuenta bancaria. En septiembre de 2023 desde CETELEM se carga en la cuenta de la parte reclamante un nuevo recibo de la misma deudora. La parte reclamante presenta una nueva reclamación a CETELEM el 21/09/23; no obstante, CETELEM volvió a cargar un nuevo recibo el día 2/10/23. CETELEM disponía del número de cuenta del reclamante desde 2022, primero en su base de datos y en el contrato de la deuda, y en 2023 su número de cuenta en el sigue en el contrato de la deudora, sin que haya rectificado, ni suprimido este dato. CETELEM declara que ha transferido además la cuenta del reclamante a una tercera empresa en junio de 2023 con la venta de la deuda. De este modo CETELEM habría tratado información personal del reclamante sin licitud, dado que no media consentimiento, ni existe obligación legal, ni contractual, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 que justifique su tratamiento y como consecuencia de este tratamiento, el reclamante ha soportado diversos cargos de una deuda en su cuenta durante varios meses en 2022 y 2023, de una deuda cuyo titular era otra persona. III Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el momento presente, y sin perjuicio de lo que resulte de la instrucción y según lo hechos conocidos, el reclamante resulta identificable a través de su número de cuenta bancaria en la que CETELEM carga una serie de recibos. La parte reclamante no es el titular de las deudas cargadas y no tiene, ni ha tenido relación contractual previa alguna con CETELEM. Esto significa que CETELEM realiza este tratamiento sin licitud, al no disponer del consentimiento del interesado. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte a CETELEM, del artículo 6 del RGPD (Licitud del tratamiento), por un tratamiento sin base de legitimación. Esta infracción del artículo del RGPD está tipificada en el artículo 83. 5.
  8. a)como sigue: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  9. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1.b de la LOPDGDD, que califica de muy grave la siguiente conducta: “
  10. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” IV Propuesta de sanción Esta infracción puede ser sancionada con multa administrativa de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. El artículo 83.2 del RGPD sobre condiciones generales para la imposición de multas administrativas establece se impondrán, en función de las circunstancias de cada caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  11. a)a
  12. h)y j). En el caso presente procedería aplicar el apartado
  13. a)que establece: “
  14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;” La naturaleza y el alcance del tratamiento afecta a derechos patrimoniales del reclamante al realizar CETELEM cargos en su cuenta bancaria. El artículo 76.2 de la LOPDGDD, relativo a sanciones y medidas correctivas establece lo siguiente en letra b): “2. De acuerdo a lo previsto en el artículo 83.2.
  15. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  16. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. CETELEM es una entidad bancaria, por lo que tiene una vinculación cualificada en la realización de tratamientos de datos personales, en especial, con la exactitud en su tratamiento. A la vista de lo anteriormente expuesto, se propone una multa de 100.000€. V Obligación incumplida Derecho de supresión 17 1.
  17. d)del RGPD Por su parte, el artículo 17 del RGPD, relativo al derecho de supresión, establece lo siguiente en el apartado 1 d): “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: (…)
  18. d)los datos personales hayan sido tratados ilícitamente; (…)” En septiembre y octubre 2023, según los resguardos bancarios aportados por la parte reclamante, volvió CETELEM a realizar nuevos cargos en su cuenta. Reconoce CETELEM su incumplimiento del derecho de supresión solicitado, cuando declara, que la rectificación y supresión de la cuenta del reclamante tuvo lugar sólo en la base de datos, pero no en el contrato que era la base jurídica de la deuda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 La obligación por parte del responsable del fichero de proceder a la supresión sin dilación de los datos ilícitamente tratados se recoge también en el artículo 5.1.
  19. d)del RGPD: 1. Los datos personales serán: (…)
  20. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); (…) 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»). A la vista de los hechos descritos, parece claro que CETELEM, sólo habría limitado a suprimir los datos del reclamante sólo de la base de datos, pero no del contrato. CETELEM más de 1 año después de la reclamación, no ha adoptado todas las medidas razonables para la supresión y rectificación sin dilación de datos de la parte reclamante. VI Tipificación y calificación de la infracción De conformidad con las evidencias disponibles en el momento presente y sin perjuicio de lo que resulte de la instrucción, se considera que CETELEM no ha suprimido efectivamente el número de la cuenta del reclamante en septiembre y octubre de 2023. Según su propia declaración CETELEM sólo habría procedido a la supresión en la base de datos, pero no en el contrato base de los cargos indebidos, a pesar del ejercicio del derecho de supresión sin el consentimiento del interesado el 8 de agosto de 2022. Como consecuencia del tratamiento indebido indicado, CETELEM ha vuelto a realizar cargos injustificados de otra persona en la cuenta del reclamante. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte a CETELEM, del artículo 17.1.
  21. d)del RGPD, relativo al derecho de supresión, que establece lo siguiente: “1) El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: (…)
  22. d)los datos personales hayan sido tratados ilícitamente; (…)” Esta infracción del artículo del RGPD está tipificada en el artículo 83. 5.
  23. b)como sigue: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  24. b)los derechos de los interesados a tenor de los artículos 12 a 22;” A efectos del plazo de prescripción de las infracciones, al tratarse de un incumplimiento puntual del derecho de supresión, la infracción imputada prescribe al año, conforme al artículo 74.1.c de la LOPDGDD, que califica de leve la siguiente conducta: “
  25. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  26. k)de esta ley orgánica”. VII Propuesta de sanción Esta infracción puede ser sancionada con multa administrativa de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. El artículo 83.2 del RGPD sobre condiciones generales para la imposición de multas administrativas establece se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  27. a)a
  28. h)y j). En el caso presente procedería aplicar los apartados
  29. a)y
  30. b)que establecen: “
  31. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;” La supresión efectiva del tratamiento solicitado ha superado con creces el plazo de 1 año, lo que se considera una agravante de la responsabilidad. El incumplimiento del deber de exactitud de los datos, ha obligado a la parte reclamante a reiterar la supresión de sus datos, llegando incluso la parte reclamante a presentar una denuncia ante la policía, por estafa. “
  32. b)la intencionalidad o negligencia en la infracción”. La supresión del número de cuenta de la parte reclamante sólo en la base datos, pero no en el contrato, apuntaría a un comportamiento negligente de CETELEM. El artículo 76.2 de la LOPDGDD, relativo a sanciones y medidas correctivas establece lo siguiente en letra b): “2. De acuerdo a lo previsto en el artículo 83.2.
  33. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15
  34. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. CETELEM es una entidad bancaria, por lo que tiene una vinculación cualificada en la realización de tratamientos de datos personales, en especial, con la exactitud en su tratamiento. A la vista de lo anteriormente expuesto se propone una multa de 50.000€. VIII Obligación incumplida Segundo tratamiento sin licitud artículo 6 En el artículo 4.2 del RGPD “Definiciones” se estable que: “ A efectos del presente Reglamento se entenderá por: 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” (…) En septiembre y octubre 2023, se volvieron a realizar dos nuevos cargos en la cuenta del reclamante para la misma deudora, lo que significa que CETELEM no habría procedido a la supresión de los datos de la parte reclamante. CETELEM informa a la AEAT al respecto en las actuaciones previas, que ha vendido la deuda a una tercera empresa junto con el contrato que contiene los datos erróneos de la parte reclamante. Afirma que, como consecuencia de la venta de la deuda, la responsabilidad sobre la exactitud de los datos sería ya de la nueva empresa y que, no obstante, ha tenido a bien encargarse de la resolución del nuevo incidente de cargos indebidos en la cuenta del reclamante. Con la cesión del número de cuenta corriente de la parte reclamante a un tercero, realiza CETELEM un nuevo tratamiento de datos (“comunicación por transmisión”, el artículo 4.2 del RGPD), para la que es necesario cumplir nuevamente con las condiciones de licitud previstas en el artículo 6 del RGPD: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  35. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  36. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15
  37. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; CETELEM carece ya en agosto de 2022 de la licitud para los datos de la cuenta corriente de la parte reclamada; no dispone del consentimiento del interesado y el tratamiento realizado no es necesario para el cumplimiento de una obligación legal o contractual. Se trata de una información que nunca debió tener y cuya supresión, solicitada por el interesado. Desde el año anterior a esta cesión, CETELEM es conocedor de la falta de licitud de este tratamiento, porque la parte reclamante ya había ejercido su derecho de supresión por tratamiento ilícito de su número de cuenta bancaria. CETELEM ha conservado la información reclamada indebidamente y con la venta de la deuda, habría realizado un nuevo tratamiento, comunicando a una tercera empresa los datos de la cuenta de la parte reclamada sin las condiciones de licitud previstas en el artículo 6.1.
  38. a)del RGPD. IX Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el momento presente, y sin perjuicio de lo que resulte de la instrucción CETELEM reconoce ante la AEPD la cesión del número de cuenta de la parte reclamante a una tercera empresa, que es un nuevo tratamiento llevado a cabo con la oposición manifiesta del interesado. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a CETELEM, del artículo 6 del RGPD (licitud del tratamiento), por tratamiento consistente en la cesión de datos de interesado a terceros sin el consentimiento del interesado: Esta infracción del artículo del RGPD está tipificada en el artículo 83. 5.
  39. a)como sigue: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  40. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1.b de la LOPDGDD, que califica de muy grave la siguiente conducta: “
  41. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 X Propuesta de sanción Esta infracción puede ser sancionada con multa administrativa de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. El artículo 83.2 del RGPD establece que las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  42. a)a
  43. h)y j). Por su parte, el artículo 76 de la LOPDGDD, relativa a sanciones y medidas correctivas, establece que: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  44. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: “
  45. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. CETELEM es una entidad bancaria, por lo que tiene una vinculación cualificada en la realización de tratamientos de datos personales, en especial, con la exactitud en su tratamiento, por lo que reviste especial gravedad la obtención del número de la cuenta bancaria del reclamante, su mantenimiento, a pesar del derecho de supresión del interesado, y finalmente la cesión a un tercero sin comprobación efectiva de la exactitud de los datos. A la vista de lo anteriormente expuesto se propone una multa de 100.000€. XI Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  46. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Podría acordarse, entonces, la adopción de medidas organizativas adecuadas para evitar en el futuro errores como el producido en este caso en el plazo de 3 meses, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 como la comunicación de supresión del tratamiento a la empresa a la que CETELEM cedió los datos de la parte reclamante, con motivo de la venta de la deuda. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANCO CETELEM, S.A., con NIF A78650348, por dos presuntas infracciones de los artículos 6 y una infracción del artículo 17.1.
  47. d)del RGPD, todas ellas tipificadas en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a B.B.B. y, como secretario/a, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  48. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de doscientos cincuenta mil euros (250.000€), cien mil euros (100.000€) por la infracción inicial del art 6, cincuenta mil (50.000€) por la infracción del artículo 17.1.
  49. d)y cien mil euros (100.000€) por la segunda infracción del artículo 6, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a BANCO CETELEM, S.A., con NIF A78650348, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  50. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 reducción, la sanción quedaría establecida en doscientos mil euros (200.000€), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en doscientos mil euros (200.000€) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en ciento cincuenta mil euros (150.000€). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente doscientos mil euros (200.000€), ó ciento cincuenta mil euros (150.000€) deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 31 de mayo de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 150000 euros haciendo uso de las dos reducciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  51. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202317282, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a BANCO CETELEM, S.A. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a BANCO CETELEM, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  52. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.