1/70 Expediente N.º: EXP202311075 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR............................................... 2 ANTECEDENTES.......................................................................................................... 3 PRIMERO: Reclamación............................................................................................ 3 SEGUNDO: Admisión a trámite de la reclamación..................................................... 4 TERCERO: Solicitud de aclaración conforme al artículo 77 LPACAP......................... 9 CUARTO: Admisión a trámite..................................................................................... 9 QUINTO: Inicio de procedimiento sancionador........................................................... 9 SEXTO: Notificación del acuerdo de inicio y alegaciones......................................... 10 SÉPTIMO: Práctica de la prueba.............................................................................. 15 OCTAVO: Contestación a trámite de prueba de AUTORADIO................................. 17 NOVENO: Contestación al trámite de prueba de SENDING.................................... 17 DÉCIMO: Contestación al trámite de la prueba de ING............................................ 18 UNDÉCIMO: Contestación a trámite de prueba de DYNAMIC................................. 18 DUODÉCIMO: Propuesta de resolución.................................................................. 19 DÉCIMOTERCERO: Alegaciones a la propuesta de resolución............................... 20 HECHOS PROBADOS................................................................................................ 23 PRIMERO:............................................................................................................... 23 SEGUNDO:.............................................................................................................. 23 TERCERO:............................................................................................................... 23 CUARTO:................................................................................................................. 23 QUINTO:.................................................................................................................. 24 SEXTO:.................................................................................................................... 24 SÉPTIMO:................................................................................................................ 24 OCTAVO:.................................................................................................................. 24 NOVENO:................................................................................................................. 24 DÉCIMO:.................................................................................................................. 24 ÚNDECIMO:............................................................................................................. 25 DUODÉCIMO:.......................................................................................................... 25 DÉCIMOTERCERO:................................................................................................ 25 C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/70 DÉCIMOCUARTO:................................................................................................... 25 DÉCIMOQUINTO:.................................................................................................... 25 FUNDAMENTOS DE DERECHO................................................................................. 25 I. Competencia......................................................................................................... 25 II. Cuestiones previas............................................................................................... 26 1.Aspectos básicos desde la perspectiva de protección de datos: responsable y encargado............................................................................................................. 26 2.Sobre los encargados y subencargados del tratamiento:................................... 29 III. Contestación a las alegaciones al acuerdo de inicio........................................... 33 IV. Contestación a las alegaciones a la propuesta de resolución............................. 39 V. Obligaciones incumplidas del artículo 28.2 del RGPD. Obligaciones del encargado................................................................................................................ 54 1.Primera infracción del artículo 28.2 del RGPD: ausencia de autorización para subencargar a SENDING...................................................................................... 57 2.Segunda infracción del artículo 28.2 RGPD: incumplimiento del deber de informar al responsable sobre la contratación de AUTORADIO por SENDING.. . .59 VI. Tipificación de las infracciones del artículo 28.2 del RGPD y calificación a efectos de prescripción......................................................................................................... 60 VII. Obligación incumplida del artículo 28.4 del RGPD. Ausencia de contrato con el subencargado........................................................................................................... 61 1.Primera infracción del artículo 28.4 del RGPD: ausencia de contrato de subencargo en los términos del RGPD entre DYNAMIC y SENDING...................64 2.Segunda infracción del artículo 28.4 del RGPD: ausencia de contrato de subencargo en los términos del RGPD entre DYNAMIC y AUTORADIO..............65 VIII. Tipificación de la infracción del artículo 28.4 del RGPD y calificación a efectos de prescripción......................................................................................................... 66 IX. Sanciones........................................................................................................... 66 RESUELVE:................................................................................................................. 70 PRIMERO:............................................................................................................... 70 SEGUNDO:.............................................................................................................. 70 TERCERO:............................................................................................................... 70 CUARTO:................................................................................................................. 70 C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/70 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Reclamación. El 20 de junio de 2023 tuvo lugar la entrada de una reclamación en la Agencia Española de Protección de Datos. La reclamación, presentada por la parte reclamante ante el Banco de España el 9 de junio de 2023, fue remitida por esta entidad en cumplimiento del artículo 14 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. En la reclamación se ponen de manifiesto posibles infracciones imputables a DYNAMIC EXPRESS COURIER S.L con NIF B66310830 (en adelante, DYNAMIC). Los hechos que se ponen en conocimiento de esta autoridad son: La parte reclamante manifiesta que, en fecha 19 de enero de 2023, intentó darse de alta como cotitular en la cuenta bancaria de su pareja, a través de la página web de ING BANK N.V, sucursal en España (en adelante, ING). Tras varios intentos infructuosos, la parte reclamante se pone en contacto con la mencionada entidad bancaria, que le indica que le enviará un correo electrónico con las instrucciones para realizar la gestión de forma física en lugar de virtual. El 24 de enero de 2023, una vez recibido y cumplimentado el formulario para proceder al alta de nuevo interviniente en una cuenta corriente de ING, la parte reclamante, siguiendo las instrucciones establecidas en el mencionado formulario, llamó al teléfono ***TELÉFONO.1 para contactar con el servicio de recogida. Ese mismo día recibe la etiqueta de identificación del envío de documentación en su correo electrónico. La etiqueta identificativa le es remitida por la empresa de transporte DYNAMIC. El 26 de enero de 2023 un trabajador de la empresa TRANSPORTES AUTORADIO, S.A (en adelante, AUTORADIO) acude al domicilio de la parte reclamante y recoge un sobre en el que se contienen el formulario de alta de nuevo interviniente, fotocopia de su DNI y la etiqueta identificativa del envío cumplimentada. Al no tener noticias, durante los días 2,6 y 10 de febrero de 2023 la parte reclamante se pone en contacto con ING para preguntar si esta entidad había recibido la documentación enviada. En las tres ocasiones le indican que no se ha recibido y, además, el día 10 le señalan que reclamarán la documentación a la empresa de transporte. El 13 de febrero de 2023 la parte reclamante se pone de nuevo en contacto con ING que le confirma que sigue a la espera de confirmación por parte de las C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/70 empresas de transporte. Asimismo, la entidad bancaria le recomienda subir a la página web de ING el albarán de recogida de la documentación para reclamar de nuevo el envío y crear una incidencia en la plataforma de ING. Por otra parte, ese mismo día la parte reclamante se pone en contacto con la empresa AUTORADIO, encargada de la recogida de la documentación el 26 de enero de 2023, que le indica un número de seguimiento del envío (***ENVÍO.1) y le informa de que la documentación ha llegado a la empresa SENDING TRANSPORTE Y COMUNICACIÓN, S.A (en adelante, SENDING) en Madrid. Asimismo, señalan a la parte reclamante que contacte con la empresa SENDING para que esta le informe sobre la situación de la documentación. A continuación, la parte reclamante se pone en contacto con SENDING, que le confirma que la documentación llegó a sus oficinas en Madrid, sin que sepa la razón por la que no ha sido remitida a ING. Desde la empresa SENDING señalan que lo reclamarán a DYNAMIC. El 16 de febrero de 2023 la parte reclamante vuelve a contactar con la empresa SENDING que le comunica por vez primera que desconoce la ubicación de la documentación. Asegura que esta no se encuentra en sus oficinas por lo que podría encontrarse en posesión de la empresa DYNAMIC. Ese mismo día, la parte reclamante se pone en contacto con DYNAMIC quien asegura no haber recibido el envío por parte de SENDING. Tras volver a contactar con SENDING, esta empresa le confirma que desconoce la ubicación de la documentación. El 18 de febrero de 2023 la parte reclamante recibe un correo electrónico por parte de ING informándole de que no ha recibido la documentación necesaria para realizar la gestión e instándole a que la presente de nuevo. En contestación a esa comunicación, la parte reclamante exige a ING que le aclare qué ha ocurrido con la documentación que contenía sus datos personales y que le fue remitida a ING siguiendo sus instrucciones. Finalmente, el 6 de marzo de 2023 presenta denuncia ante la Guardia Civil por el extravío de documentación. Junto a la reclamación se aporta: - Copia del formulario de alta de nuevo interviniente de ING, cumplimentado por la parte reclamante. En el mismo figuran de manera manuscrita: o Nombre, apellidos, DNI, número de cuenta y rúbrica de la pareja de la parte reclamante. o Nombre, apellidos, DNI, fecha de nacimiento, país de nacimiento, nacionalidad, país de residencia fiscal, dirección de correo electrónico, número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica de la parte reclamante. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 5/70 Además, constan las instrucciones para dar de alta a un nuevo interviniente, consistentes en: o “Rellene y firme los campos con fondo blanco”; o “Llame al ***TELÉFONO.1 y lo recogeremos gratis” o “El nuevo interviniente personalmente deberá mostrar su DNI y entregar una copia al mensajero”. o “¡MUY IMPORTANTE! Compruebe que su DNI está en vigor (no caducado) y entregue una fotocopia al mensajero. Si no tiene DNI, ver el dorso”. Asimismo, de acuerdo con el documento, el responsable del tratamiento de los datos personales ahí contenidos es ING. - Copia del correo electrónico recibido por la parte reclamante de ***EMAIL.1 el 24 de enero de 2023 a las 11:31 horas con el documento “ING etiqueta identificación.pdf”, así como copia de la etiqueta de recogida cumplimentada por la parte reclamante en la que figuran los logos de ING y de DYNAMIC. En la misma se indica “ATENCIÓN, el cliente debe identificarse con su DNI. La firma del cliente debe ser igual o conforme a la de su DNI”. Se incluyen, además, como datos exigidos para la solicitud de recogida: nombre, apellidos, fecha, número de DNI, fecha de validez del DNI y rúbrica. - Albarán de la orden de recogida de la documentación de 26 de enero de 2023 de AUTORADIO en la que figuran, entre otros, un número de recogida, la fecha de recogida, el nombre, apellidos y dirección postal de la parte reclamante (identificado como cliente de recogida). Asimismo, consta como “destino”, ING Direct-Alta interviniente; como cliente a facturar, RECOGIDAS SENDING (…); y como ordenante 900-SENDING. - Copia de documento de seguimiento del envío ***ENVÍO.1 (…) de 13 de febrero de 2023, en el que figura “26 de enero de 2023. 21.13 horas. En tránsito. 18.56 horas. Servicio creado en el sistema. (…)
(361). Remitente: ***LOCALIDAD.1. Destinatario: 900- SENDING. - Intercambio de correos entre la parte reclamante y ***EMAIL.2 de 18 y 20 de febrero de 2023 en la que ING solicita el reenvío de la documentación, al no haberlo recibido, a lo que el reclamante contesta manifestando su disconformidad con la situación, reiterando la cronología de lo ocurrido y solicitando aclaración sobre el extravío de sus datos personales. - Copia del expediente generado a raíz de la reclamación de 24 de abril de 2023 presentada por la parte reclamante contra ING ante la Oficina Municipal de Información al Consumidor (OMIC) del (…). - Atestado de la Guardia Civil de (…) (…) por la que se reproduce la denuncia presentada por la parte reclamante “por pérdida de objetos o efectos”. SEGUNDO: Admisión a trámite de la reclamación. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 6/70 De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ING para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 15 de septiembre de 2023 ING en contestación al traslado, realiza las siguientes aseveraciones, que confirman la cronología detallada por la parte reclamante: - Que por parte de ING se realizaron varios intentos por localizar la documentación extraviada a raíz de que se recibiera el aviso por parte de la parte reclamante. En concreto, se solicitó información a la empresa por ellos contratada encargada de escanear toda la documentación recibida por los diferentes canales de entrada (***EMPRESA.1). Asimismo, tras instar a la parte reclamante a la subida del albarán de recogida, el 14 de febrero de 2023 se procede a solicitar información a la empresa ***EMPRESA.2, proveedor de servicios de mensajería con la que trabajaba ING, que no guarda relación con DYNAMIC, empresa que realizó la recogida de la documentación. - A raíz del traslado de la reclamación por la AEPD se verifica por parte de ING que la solicitud de información a ***EMPRESA.2 fue realizada erróneamente, sin solicitarse información a DYNAMIC sobre la documentación extraviada hasta el 1 de septiembre de 2023. - Respecto a la relación entre DYNAMIC e ING se señala (el subrayado es de la AEPD): “(…) La empresa de mensajería Dynamic estuvo prestando servicios a ING de forma puntual durante un corto periodo de tiempo. En concreto, hasta que se inició un proceso de RFP para seleccionar a un nuevo proveedor de servicios de mensajería, al haber entrado en concurso de acreedores una de las dos empresas de mensajería con las que ING colaboraba. Se formalizó un contrato con la entidad Dynamic, con fecha 1 de septiembre de 2022 el cual fue finalizado el 28 de febrero de 2023. (…) Desde la empresa Dynamic nos han informado, tras esta solicitud realizada por ING, de que efectivamente dicho documento fue extraviado, entendemos que probablemente debido a un error humano puntual. (…) Desconocemos exactamente lo ocurrido entre las empresas que componen la red de mensajería utilizada por Dynamic, ya que ING es ajena a ella y sus procedimientos y protocolos son definidos y de responsabilidad exclusiva de dichas empresas de mensajería. Sin embargo, entendemos que la causa ha sido un error humano, puntual, ya que el extravío de la documentación que estas empresas deben entregarnos no es un hecho que ocurra habitualmente, teniendo en cuenta que el volumen de documentos que se reciben por esta vía es considerable”. - Por otra parte, respecto a las medidas adoptadas para evitar que se produzcan incidencias similares, ING asegura: “(…) desde el punto de vista de acciones de carácter contractual, entendemos que no es necesario adoptar ninguna medida C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 7/70 porque ING ya dispone en los contratos firmados con las empresas de mensajería con las que colabora, acuerdos de niveles de servicio y de penalizaciones previstas para el caso de que los servicios no se presten adecuadamente”. Junto a su escrito de respuesta al traslado, se acompañan los siguientes documentos: - Captura de pantalla de la incidencia que figura en el historial de la parte reclamante en el que constan las actuaciones llevadas a cabo por ING tras los diversos avisos realizados por la parte reclamante relativos a la documentación extraviada. - Copia del albarán de recogida de AUTORADIO subido a la plataforma de ING por la parte reclamante el 13 de febrero de 2023. - Copia del correo electrónico remitido por ING a DYNAMIC el 1 de septiembre de 2023 solicitando información sobre la documentación extraviada. En esta comunicación se señala: “(…) (…) (…)”. (El subrayado es de la AEPD). - Copia del contrato de prestación de servicios entre ING y DYNAMIC vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023, y, por ende, en vigor en el momento en el que tuvieron lugar los hechos descritos en el antecedente de hecho primero. En el mismo, se incluye un apartado relativo a la protección de datos de carácter personal por el que se identifica a ING como responsable del tratamiento y a DYNAMIC como encargado del tratamiento. Asimismo, se indica que DYNAMIC, en tanto que encargado del tratamiento, no podrá realizar un subencargo del tratamiento salvo que cuente con la autorización previa y expresa de ING. En particular se establece: (…) Además, entre las obligaciones fijadas al encargado del tratamiento de los datos se señala: “(…)”. Por otra parte, en el contrato se imponen a DYNAMIC otra serie de obligaciones y se incluye un ANEXO IV con algunas medidas de seguridad: (…) - Carta de resolución de contrato enviada por ING a DYNAMIC el 13 de febrero de 2023 por la que manifiesta su voluntad de resolución del contrato con efectos del 28 de febrero de 2023. En la comunicación se identifica como destinatario a “DYNAMIC EXPRESS COURIER S.L. Att: A.A.A. ***DIRECCIÓN.1”. - Carta de 14 de septiembre de 2023 remitida por ING a la parte reclamante por la que le confirman el extravío de la documentación y reiteran sus disculpas ante lo acontecido. - Evaluación de impacto sobre gestión de documentación física y digital (versión reducida y completa). TERCERO: Solicitud de aclaración conforme al artículo 77 LPACAP. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 8/70 El 19 de septiembre de 2023, de conformidad con el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se solicitó a ING aclaración sobre las penalizaciones que fueron aplicadas en el caso concreto, atendiendo a la respuesta proporcionada sobre las medias adoptadas para evitar incidencias similares. El 28 de septiembre de 2023 se recibió nueva respuesta en que se señala que no se aplicaron penalizaciones, en tanto que “durante la vigencia del contrato no se reportaron supuestos que justificaran la aplicación de penalizaciones en los términos recogidos en el contrato, a juicio de la información que disponemos en ING (…). Por tanto, los hechos que motivaron la reclamación (pérdida del documento) no fueron reportados por Dynamic a ING como caso de pérdida de documentación durante el tiempo que duró la relación contractual entre ambas entidades. En este sentido, en el fichero Excel de seguimiento del mes de enero de 2023, en la columna donde se codificaban las posibles incidencias producidas, no consta reportada ninguna”. CUARTO: Admisión a trámite. Con fecha 20 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: Inicio de procedimiento sancionador. Con fecha 10 de enero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DYNAMIC, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por dos presuntas infracciones del artículo 28.2 del RGPD y dos presuntas infracciones del artículo 28.4 del RGPD, tipificadas en el artículo 83.4.
- a)del RGPD. SEXTO: Notificación del acuerdo de inicio y alegaciones. Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: 1. Primera alegación: Caducidad y nulidad del expediente. - Asegura que se ha incorporado al expediente diversas actuaciones realizadas por la Subdirección General de Inspección de Datos (SGID) durante unas actuaciones previas de investigación anteriores al inicio del procedimiento sancionador. Y señala: o Que la SGID ha realizado la instrucción del procedimiento sancionador sin dar parte a DYNAMIC: “(…) Dichas Diligencias exceden el objetivo que el artículo 67 de la Ley Orgánica 3/2018 (…). Por el contrario, constituyen una verdadera instrucción en la que la empresa ahora imputada, de la que soy (…), no ha podido intervenir alegando y proponiendo prueba (…) Esa AEAPD ha realizado una instrucción completa del procedimiento para presentar un acuerdo de incoación con hechos plenamente acreditados, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 9/70 o o haciendo perder al procedimiento su función e incluso su propia naturaleza, pues es durante el procedimiento cuando se deben averiguar e investigar los hechos que pueden constituir infracciones”. Que las actuaciones previas de investigación se han utilizado de manera fraudulenta para alargar el plazo del procedimiento sancionador: “(…) Se da además la circunstancia de que la AEPD dispone de un año para instruir y resolver sus procedimientos sancionadores, frente a los seis meses que, como norma general, impone la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público De acuerdo con una abundante jurisprudencia, esta forma de actuar de la administración sancionadora tiene como consecuencia que deba considerarse como fecha de inicio del procedimiento el de las diligencias preliminares y la nulidad de las actuaciones. Se cita, por ejemplo, la Sentencia del Tribunal Supremo, sala Tercera, STS 1312/2021, 4 de Noviembre de 2021, que señala que: “… Las actuaciones previas, excepto que estas se utilicen fraudulentamente para alargar el plazo de seis meses para concluir el procedimiento sancionador, debiéndose entender que la inactividad injustificada y desproporcionada de la Administración desde la finalización de las actuaciones previas al inicio del expediente sancionador, conculca el derecho del interesado a la buena administración en su manifestación de no sufrir dilaciones indebidas y conlleva la nulidad de las posteriores actuaciones llevadas a cabo (…). Que se ha producido una dilación indebida del procedimiento desde la admisión a trámite de la reclamación: (…) la admisión a trámite de la reclamación (…) se produjo el 20 de septiembre de 2023. Dicha admisión a trámite vino precedida por las diligencias relacionadas en el citado acuerdo. Sin embargo, no es hasta enero de 2025, más de un año después, cuando esa AEPD incoa el procedimiento sancionador contra Dynamic, incorporando el material probatorio sobre el que descansan las graves imputaciones que justificarían las elevadas sanciones propuestas y que ya fue obtenido con ocasión del estudio de la admisión a trámite de la reclamación. Esta inactividad está totalmente injustificada y supone una dilación indebida que tiene como consecuencia la nulidad de las actuaciones posteriores”. 1. Segunda alegación: Prescripción de las infracciones. - Asegura que las infracciones se encuentran prescritas “de acuerdo con el artículo 83.4 del RGPD”, puesto que ING y DYNAMIC suscribieron su contrato el 1 de septiembre de 2022. Asegura que, en esa fecha, DYNAMIC ya contaba con SENDING. Por tanto, la subcontratación de SENDING se produjo en septiembre de 2022. 1. Tercera alegación: Los hechos expuestos no son ciertos, DYNAMIC no tenía una relación directa con AUTORADIO. - En relación con las infracciones de los artículos 28.2 y 28.4 vinculadas a SENDING. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 10/70 En relación con la presunta infracción del artículo 28.2 del RGPD, niega la ausencia de autorización por parte de ING para este subencargo: “(…) ya desde este momento negada ausencia de autorización por parte de ING DIRECT de subencargo para la red de SENDING y para la empresa TRANSPORTES AUTO-RADIO, SA. (AUTORADIO)”. Asimismo, asegura: “(…) cabe señalar que la contratación con ING DIRECT se realizó a través de una subasta en la que los postores iban ofreciendo pujas por la adjudicación del servicio. Una vez DYNAMIC resultó ganadora de la misma, se formalizó el contrato de prestación de servicios que preveía, como expone esa AEAP, y en cumplimiento de la normativa vigente, la necesidad de autorización previa para la subcontratación. Durante el proceso de licitación, y en atención a las condiciones de la misma, DYNAMIC expuso ante ING DIRECT que para el cumplimiento del contrato haría uso de las redes colaboradoras, en especial la de SENDING, sin que, por error de la entidad financiera se mencionase esta circunstancia en el contrato que, por error, contiene como subcontratista mis datos y no los de estos (…)”. o Confirma que contó con la empresa SENDING, si bien suscribió un contrato de encargo: “(…) de esta manera, se acredita la inconcurrencia de la infracción relativa a la inexistencia de un documento contractual que recogiera las obligaciones en materia de protección de datos personales entre ambas empresas (…)”. En relación con las infracciones de los artículos 28.2 y 28.4 vinculadas a AUTORADIO. o Asegura que DYNAMIC no subcontrató a AUTORADIO, sino que fue SENDING quien lo hizo: “(…) fue SENDING quien, a su vez, subcontrató con AUTORADIO para entregas o recogidas relativas a ese servicio en (…) porque no disponía de una red tan extensa para llegar a todo el territorio. Ello, se ha de insistir, es muy habitual (…)”. o Sin perjuicio de lo anterior, DYNAMIC era conocedor de estos hechos: “(…) Obviamente, la formalización de esa relación entre AUTORADIO y SENDING no es ajena a DYNAMIC, por lo que se aseguró del correcto cumplimiento de las obligaciones que, desde cualquier perspectiva legal, incluyendo la de la protección de datos personales, pudiera derivarse de la cadena de subcontrataciones (…)”. o Por otra parte, niega la ausencia de autorización por parte de ING para este subencargo: “(…) ya desde este momento negada ausencia de autorización por parte de ING DIRECT de subencargo para la red de SENDING y para la empresa TRANSPORTES AUTO-RADIO, SA. (AUTORADIO)”. o En consecuencia, considera que, en ningún caso, proceden las dos sanciones para cada uno de los artículos incluidos en el acuerdo de inicio. o - 1. Cuarta alegación: Cuantificación de la sanción. - Asegura DYNAMIC que realizar varios subencargos por el mismo encargado es una única infracción, y, en consecuencia, corresponde una única sanción: “se está aplicando de forma incorrecta los tipos sancionador” ya que está consiste en “la contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 11/70 - Asegura que: “la contratación, aunque sea de varios subencargados, constituye una única infracción. De la misma manera, hacer subencargos sin la debida formalización de correspondiente contrato constituye una única acción que, en su caso, mercería una única sanción, sin perjuicio de considerar el número de subencargos realizados en esas condiciones como criterio de cuantificación de la sanción”. Señala que, para la determinación de la cuantificación de la multa, únicamente se han tenido en cuenta “las circunstancias agravantes de entre la relación de criterios obtenidos en el Reglamento (UE) 2016/679” y que, en consecuencia, no se han tenido en cuenta los criterios relativos al “principio de proporcionalidad previstos en el artículo 29 de la Ley 40/2015 (…) la conducta a sancionar no fue intencionada, que no se han producido perjuicios y que no procede considerar a DYNAMIC como reincidente (…) Lejos de considerar esos factores, solo se emplean criterios agravantes, a saber: - Grave negligencia. La gravedad de la negligencia queda descartada por cuando DYNAMIC ha acreditado que hace una gestión documental y contractual correcta en cuanto a los colaboradores que subcontrata. Dicha agravante se imputa solo en las infracciones del artículo 83.2- del RGPD, pese a lo cual, todas las sanciones son de la misma cuantía. - La importante categoría de los datos personales afectados. - La vinculación de la actividad con la realización del tratamiento de datos.” 1. Quinta alegación: solicitud práctica de prueba. En su quinta alegación, DYNAMIC solicita la celebración de un periodo de prueba y propone que se realicen las siguientes actuaciones: “• Requerimiento a ING DIRECT para que aporte al procedimiento la copia de la documentación relativa a la licitación del servicio, así como las comunicaciones de DYNAMIC durante ese procedimiento. • Requerimiento a SENDING TRANSPORTE Y COMUNICACIÓN, S.A., (…) para que aporte al procedimiento: o El acuerdo entre dicha empresa y AUTORADIO para la prestación de servicios en virtud del cual se realizó la recogida de los datos al reclamante para la contratación con ING DIRECT. o El contrato de prestación de datos entre ambas empresas. • Requerimiento a SENDING TRANSPORTE Y COMUNICACIÓN, S.A., (…), para que certifique que subcontrató con AUTORADIO la prestación de los servicios que, a su vez, había subcontratado con DYNAMIC EXPRESS COURIER EXPRESS. • Requerimiento TRANSPORTES AUTO RADIO S.A, (…) para que aporte al procedimiento: o El acuerdo entre dicha empresa y AUTORADIO para la prestación de servicios en virtud del cual se realizó la recogida de los datos al reclamante para la contratación con ING DIRECT. o El contrato de prestación de datos entre ambas empresas. • Requerimiento TRANSPORTES AUTO RADIO S.A, (…), para que certifique que no DYNAMIC EXPRESS COURIER no contrató sus servicios”. (sic) Junto a su escrito de alegaciones al acuerdo de inicio, presenta: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 12/70 - Contrato de arrendamiento de servicios de transporte entre SENDING y DYNAMIC de 1 de octubre de 2021, en el que se observa: o Ambas empresas contratan sus servicios de manera mutua. DYNAMIC se centrará en el territorio de Barcelona, mientras que SENDING actúa en cualquier provincia de España, Andorra y Ceuta y Melilla. o El contrato tiene una duración de un año, la vigencia inicial se prevé entre el 1 de octubre de 2021 y el 31 de otubre de 2022, sin perjuicio de que prevea una prórroga automática por sucesivos periodos de un año. o El punto noveno incluye un apartado específico en materia de protección de datos: A pesar de que el contrato data de 2021, sigue haciendo referencia a la LO 15/1999. Respecto a los datos que SENDING facilite a DYNAMIC, la primera tendrá la consideración de responsable del tratamiento y la segunda de encargado y a la inversa. Se hacen, por tanto, responsables y encargados mutuos en función del origen de los datos. No se realiza mención alguna a ING. En cuanto al contenido: “(…) ambas partes se comprometen a tratar con la máxima confidencialidad cuantos datos de carácter personal le sean facilitados con motivos del presente contrato de servicios, comprometiéndose a tratarlos conforme a la normativa de protección de datos, así como a adoptar en el futuro cuantas medidas de seguridad sean exigidas por las leyes y reglamentos destinadas a preservar el secreto, confidencialidad e integridad en el tratamiento automatizado de datos personales. (…) en consecuencia cada una de las partes, como encargado del tratamiento de los datos titularidad de la contraparte (…) se compromete a adoptar las medidas de índole técnica y organizativa necesarias para garantizar la seguridad de los datos (…). Ambas partes se comprometen a informar a su personal, colaboradores y subcontratistas de las obligaciones establecidas en el presente contrato sobre condifencialidad (…). (…) una vez cumplida la prestación contractual establecida, ambas partes se obligan respecto de la otra a destruir o devolver todos los datos, soportes o documentos (…)(…) ambas partes se comprometen a no difundir el contenido de la información, en su caso, facilitada por la contraparte, a personas o entidades ajenas a l empresa (…)”. - Contrato de tratamiento de datos personales de 4 de enero de 2022 suscrito entre DYNAMIC y SENDING en el que se observa: o Se define a DYNAMIC como encargado del tratamiento (sin identificar al responsable) y a SENDING como subencargada del tratamiento. o En la cláusula 1, se define el objeto en los siguientes términos: “el objeto del presente contrato es regular el tratamiento de datos personales por el subencargado por cuenta del responsable del tratamiento con el que el encargado tiene un contrato de tratamiento de datos personales en los términos previstos en las siguientes clausulas”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 13/70 En la cláusula 2, “Descripción del tratamiento o tratamientos”, se señala: “en el anexo II se especifican los pormenores de las operaciones de tratamiento y, en particular, las categorías de datos personales y los fines para los que se tratan los datos personales. El tratamiento por parte del subencargado solo se realizará durante el periodo especificado en el anexo II”. En el Anexo II se determina que la duración del tratamiento será “durante el plazo de vigencia del contrato de servicios de transporte (…) suscrito entre el encargado y el responsable del tratamiento”. o El apartado 3.3 consagra “la seguridad del tratamiento” y determina que “el subencargado aplicará las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales (…). Por su parte, el anexo III establece de manera genérica: “medidas de seudonimización y cifrado de los datos personales; medidas para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; medidas para restaurar la disponibilidad y el acceso a los datos personales de forma rápida (…); procesos de verificación (…) de eficacia; medidas para la autorización e identificación del usuario; medidas para la protección de los datos durante la transmisión; medidas para la protección de los datos durante el almacenamiento; medidas para garantizar la seguridad física(…); medidas para garantizar el registro de incidentes; medidas para garantizar la configuración del sistema, en especial la configuración por defecto; medidas de gobernanza y gestión de la informática (…); medidas para garantizar la calidad de los datos,(…) medidas para garantizar la responsabilidad proactiva (…)”. o La cláusula 3.5 “recurso a subencargados” se señala: “el subencargado no podrá recurrir a otro(
- s)subencargado (
- s)sin la autorización previa y por escrito del responsable del tratamiento, a través del encargado”. o La cláusula 4, “ayuda al responsable del tratamiento” determina entre otros aspectos: “el subencargado (…) no responderá a dicha solicitud por sí mismo, a menos que el responsable del tratamiento le haya autorizado a hacerlo”. Adenda de 24 de mayo de 2022 al contrato de arrendamiento de servicios de 23 de enero de 2009: contrato de tratamiento de datos personales entre SENDING y AUTORADIO. o En el mismo se define a SENDING como encargado y a AUTORADIO como subencargado o No se define al responsable del tratamiento, aunque se incluyan referencias a este. o Es una reproducción del Contrato de tratamiento de datos personales de 4 de enero de 2022 suscrito entre DYNAMIC y SENDING descrito anteriormente. o - SÉPTIMO: Práctica de la prueba. Con fecha 7 de febrero de 2025, el instructor del procedimiento acordó practicar las siguientes pruebas: “(…) C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 14/70 3. Requerir a ING BANK N.V., SUCURSAL EN ESPAÑA (en adelante, ING) la documentación o información siguiente: 3.1 Documentación acreditativa de los subencargados del tratamiento autorizados por ING en el marco del contrato entre ING y DYNAMIC (vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023), de conformidad con el artículo 28.2 y 28.4 del RGPD y de acuerdo con lo previsto en el propio contrato, que exigía autorización específica previa y por escrito. En particular, documentación acreditativa de la condición de SENDING TRANSPORTE Y COMUNICACIÓN S.A. y TRANSPORTES AUTO-RADIO, S.A como subencargados del tratamiento autorizados por ING en los términos anteriormente señalados. 3.2 Comunicaciones que tuvieran por objeto la posible subcontratación de servicios realizadas por ING a DYNAMIC durante el procedimiento de licitación que finalizó con la suscripción de un contrato de prestación de servicios entre ambas entre el 1 de septiembre de 2022 y el 28 de febrero de 2023. 4. Requerir a DYNAMIC la información o documentación siguiente: 4.1 Documentación relativa a la licitación del contrato de prestación de servicios de mensajería efectuada por ING, adjudicado a DYNAMIC y vigente entre 1 de septiembre de 2022 y el 28 de febrero de 2023. 4.2 Relacionado con lo anterior, copia de las comunicaciones realizadas por DYNAMIC a ING durante el procedimiento de licitación, que finalizó con la adjudicación a esta última, que tuviera por objeto la posible subcontratación de servicios. En el mismo sentido, comunicaciones realizadas por ING a DYNAMIC durante el procedimiento de licitación, que finalizó con la adjudicación a esta última, que tuviera por objeto la posible subcontratación de servicios. 4.3 Documentación acreditativa de los subencargados del tratamiento autorizados por ING en el marco del contrato entre ING y DYNAMIC (vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023), de conformidad con el artículo 28.4 del RGPD y de acuerdo con lo previsto en el propio contrato, que exigía autorización previa y por escrito. 5. En atención a lo solicitado por DYNAMIC en su escrito de 27 de enero de 2025, por parte de esta instrucción se acuerda: 5.1. Requerir a ING la información o documentación siguiente: C/ Jorge Juan 6 28001 - Madrid En relación con el contrato de prestación de servicios suscrito entre ING y DYNAMIC vigente entre 1 de septiembre de 2022 y el 28 de febrero de www.aepd.es sedeaepd.gob.es 15/70 2023: “copia de la documentación relativa a la licitación del servicio, así como las comunicaciones de DYNAMIC durante ese procedimiento”. 5.2. Requerir a SENDING TRANSPORTE Y COMUNICACIÓN S.A. (CIF A85508299) la información o documentación siguiente: - “El acuerdo entre dicha empresa y AUTORADIO para la prestación de servicios” en virtud del cual se realizó una recogida de documentación el 26 de enero de 2023 a nombre de B.B.B., en la dirección ***DIRECCIÓN.2, con destinatario ING. - “El contrato de prestación de datos entre ambas empresas”. - “Certificación” de que “subcontrató con AUTORADIO la prestación de los servicios que, a su vez, había subcontratado con DYNAMIC EXPRESS COURIER EXPRESS”. Además, documentación que acredite esta manifestación. 5.3. Requerir a TRANSPORTES AUTO-RADIO, S.A. (CIF A15080773) la información o documentación siguiente: - El acuerdo entre dicha empresa y SENDING para la prestación de servicios en virtud del cual se realizó una recogida de documentación el 26 de enero de 2023 a nombre de B.B.B., en la dirección ***DIRECCIÓN.2, con destinatario ING. - “El contrato de prestación de datos entre ambas empresas”. - “Certificación” de que “DYNAMIC EXPRESS COURIER no contrató sus servicios””. OCTAVO: Contestación a trámite de prueba de AUTORADIO. El 20 de febrero de 2025 AUTORADIO, en contestación al trámite de prueba, presenta: - Adenda de 24 de mayo de 2022 al contrato de arrendamiento de servicios de 23 de enero de 2009: contrato de tratamiento de datos personales entre SENDING y AUTORADIO. El documento es idéntico al presentado por DYNAMIC junto a su escrito de contestación al acuerdo de inicio. - Documento firmado por C.C.C. en tanto que (…) AUTORADIO en el que se señala: (…) CERTIFICA que en referencia a la recogida efectuada el 26/01/2023 no ha sido contratada por DYNAMIC ESPRESS COURIER, según consta en nuestro sistema informático (…)”. - C/ Jorge Juan 6 28001 - Madrid En el mismo asegura que el ordenante de la recogida en el domicilio de la parte reclamante fue SENDING. Contrato de prestación de servicios de 23 de enero de 2009 entre SENDING y AUTORADIO por el que se define a AUTORADIO como corresponsal y se obliga al reparto y recogida de los envíos en la provincia de (…). A su vez, SENDING ofrece sus servicios en el resto de la península, Andorra, Ceuta y Melilla. o El contrato tiene una duración inicial de un año, hasta el 1 de abril de 2010, sin perjuicio de la previsión de prórrogas automáticas. www.aepd.es sedeaepd.gob.es 16/70 o Se incluye una cláusula novena en el contrato relativa a la protección de datos de carácter personal por la que se reconoce a SENDING como responsable y a AUTORADIO como encargado y a la inversa, en función del origen de los paquetes. NOVENO: Contestación al trámite de prueba de SENDING. El 21 de febrero de 2025, en contestación al trámite de prueba, SENDING presenta: - Contrato de prestación de servicios de 23 de enero de 2009 entre SENDING y AUTORADIO, idéntico al presentado por AUTORADIO en contestación a la práctica de prueba. Confirma, asimismo, que la recogida en el domicilio de la parte reclamante de 26 de enero de 2023 se realizó en virtud del mismo - Adenda de 24 de mayo de 2022 al contrato de arrendamiento de servicios de 23 de enero de 2009: contrato de tratamiento de datos personales entre SENDING y AUTORADIO. El documento es idéntico al presentado por DYNAMIC junto a su escrito de contestación al acuerdo de inicio y al presentado por AUTORADIO en contestación a la práctica de la prueba. - Documento sin firma titulado “Certificación de la subcontratación”: “(…) a efectos de acreditar la relación con AUTORADIO en materia de protección de datos, SENDING (…) certifica que subcontrató a AUTORADIO y firmó el contrato de fecha de 22 de mayo de 2022 por la que se recurre a eta última como subencargado, extendiendo así las obligaciones que, en materia de protección de datos, tiene SENDING cuando trata datos personales como (sub)encargado, siéndolo en el presente caso de DYNAMIC por cuenta de quien actúa (…)”. - Documento con título “Detalle de expedición ***ENVÍO.1” a nombre de la parte reclamante en el que se recoge la cronología de la recogida desde el 26 de enero de 2023 hasta el 25 de febrero de 2023. En el mismo se observa, entre otros aspectos lo siguiente: “(…) 26/01/2023 21.54 Grabada/alta en el sistema 26/01/2023 21.54 Población autocorregida: SF SENDING 27/01/2023 02.54 actualización de cercanías 27/01/2023 03.47 pendiente para entregar hoy 27/01/2023 02/02/2023 03.47 pendiente no entregada con incidencia (…) 13/02/2023 17.24 seguimiento de gestión no visible, llama remitente reclamando esta entrega”. DÉCIMO: Contestación al trámite de la prueba de ING. El 25 de febrero de 2025, ING, en contestación al trámite de prueba, aporta la siguiente información: “(…) En atención a la documental requerida por la Agencia, resulta necesario indicar que, de forma previa a la contratación de DYNAMIC, no se produce ningún procedimiento de licitación. La contratación de DYNAMIC con ING en septiembre de 2022 trae causa de la finalización del contrato de prestación de servicios con el previo proveedor, lo que C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 17/70 requirió de una contratación coyuntural (en concreto, el período fue de 6 meses) hasta que dicha prestación de servicio se cubriera de forma indefinida. En el transcurso de esos seis meses, ING emitió una solicitud de propuesta o Request for Proposal (RFP), de cara a la selección de un proveedor de forma definitiva, la cual fue finalmente adjudicada a la entidad Internacional (…). Es decir, que el proceso de licitación de ING tiene lugar después de la contratación de DYNAMIC en septiembre de 2022 y no de forma previa. En este sentido, la contratación con DYNAMIC en septiembre de 2022 no fue el resultado de ningún proceso de licitación o RFP ni tiene vinculación con la realizada por ING a posteriori. Así mismo, la AEPD solicita documentación de los encargados de ING autorizados en el marco de su contrato por DYNAMIC, si bien dicha información ya consta en el contrato de prestación de servicios formalizado en fecha de septiembre de 2022 (…) En éste, en su página 14, apartado g), se incorpora una tabla en la que se exigía a DYNAMIC incluir e identificar terceras entidades que tuviesen participación en la prestación de servicios de ING, ostentando éstas el rol de subencargados del tratamiento. En la misma, puede verse identificado al único subencargado autorizado por ING en la prestación de servicios con DYNAMIC (A.A.A.). A excepción de éste, DYNAMIC no ha comunicado a ING la intervención de ningún proveedor adicional (…)” UNDÉCIMO: Contestación a trámite de prueba de DYNAMIC. El 28 de febrero de 2025, DYNAMIC, en contestación al trámite de prueba, manifiesta lo siguiente: “(…) En cuanto a la documentación relativa a la licitación y a la relación mercantil entre DYNAMIC e ING, no se conserva la misma, pero se adjunta la más recientemente publicada por ING. En todo caso, debe señalarse que DYNAMIC asumió la prestación del servicio en septiembre de 2022 tras la declaración del concurso de acreedores de ***EMPRESA.3, prestador principal del servicio de recogida de documentación a ING en ese momento al adjudicarse el anterior procedimiento de selección competitiva de la entidad financiera (entre febrero de 2022 y febrero de 2023). Es decir, fue ***EMPRESA.3 quien ganó la licitación inicial esa anualidad, pero al entrar en concurso de acreedores, ING contrató a DYNAMIC tras un nuevo procedimiento selectivo. DYNAMIC ya era proveedor de ***EMPRESA.3 y a tal efecto, se adjunta el documento de prestación de servicios entre ambas empresas. Como subcontratista de ***EMPRESA.3, ING DIRECT había autorizado a DYNAMIC como responsable del tratamiento de los datos personales para la prestación del servicio. En cuanto a las comunicaciones con ING, se realizaban a través del chat de la aplicación interna (SAP Sourcing), a la que DYNAMIC ya no tiene acceso por haberse resuelto el contrato en febrero de 2023, así como por teléfono. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 18/70 DYNAMIC comunicó por esas vías a ING el error en el contrato del servicio de recogida documental aportado al expediente, cuya cláusula 11 incluye por error como subcontratista (…) de la propia DYNAMIC en lugar de SENDING. Dado que el contrato se resolvió en febrero de 2023, ING no modificó el error señalado (…)”. Junto a su escrito, presenta: - Copia del contrato de prestación de servicios entre ING y DYNAMIC vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023. El documento coincide con el presentado por ING a esta Agencia en septiembre de 2023. - Documento con título: “Condiciones del evento. Reglas del juego para subastas electrónicas. RFP Servicio de mensajería”. El documento pertenece a ING y data de 16 de enero de 2025. - Acuerdo de prestación de servicios entre DYANMIC y ***EMPRESA.3, con CIF (…) por el que se acuerda, por tres años a contar desde febrero de 2022. DUODÉCIMO: Propuesta de resolución. Con fecha 6 de agosto de 2025 se formuló propuesta de resolución, que fue notificada ese mismo día a DYNAMIC. En la misma, se proponía lo siguiente: “- Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a DYNAMIC EXPRESS COURIER S.L, con NIF B66310830, por: - - una infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD, con una multa de 5.000,00 euros, por contar con SENDING como subencargado, sin autorización previa y por escrito del responsable. una infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD, con una multa de 5.000,00 euros, por incumplimiento del deber de informar al responsable sobre la contratación de AUTORADIO por SENDING. una infracción del artículo 28.4 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD, con una multa de 5.000,00 euros, por no contar con un contrato de subencargo con SENDING en los términos exigidos por el RGPD. Lo que supone un total de 15.000,00 euros. - Que por la Presidencia de la Agencia Española de Protección de Datos se archive el procedimiento sancionador iniciado a DYNAMIC EXPRESS COURIER S.L, con NIF B66310830, por la presunta infracción del artículo 28.4 del RGPD, tipificada en el artículo 83.5 del RGPD, en relación con la ausencia de un contrato de subencargo con AUTORADIO”. DÉCIMOTERCERO: Alegaciones a la propuesta de resolución C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 19/70 El 20 de agosto de 2025 se recibió en la AEPD escrito de alegaciones de DYNAMIC en el que, en síntesis, se manifestaba lo siguiente: 1. Primera alegación: disconformidad con la propuesta de resolución. En la primera alegación, reitera las alegaciones al acuerdo de inicio. 2. Segunda alegación: Caducidad y nulidad del expediente. En la segunda alegación, DYNAMIC reitera lo expresado en sus alegaciones al acuerdo de inicio: - - - - - C/ Jorge Juan 6 28001 - Madrid A su juicio se ha producido una instrucción previa a la incoación del expediente sancionador (aunque se le dé el nombre formal de actuaciones previas de investigación o actuaciones de traslado de acuerdo con los artículos 67 y 65.4 de la LOPDGG) que han llevado hasta la propuesta de resolución. Señala, así, que durante las actuaciones previas al inicio del procedimiento sancionador “no se ha limitado a recoger la denuncia, sino a requerir información incluso al cliente de DYNAMIC”. Asegura, por tanto, que se ha desvirtualizado la función del procedimiento sancionador, en particular de la instrucción del mismo. Subraya que la AEPD cuenta con 1 año para instruir y resolver sus procedimientos sancionadores, plazo que “le permite realizar, dentro del expediente, las diligencias que, de forma fraudulenta, realiza con carácter previo”. Manifiesta que la “utilización fraudulenta de lo que el instructor considera “diligencias de traslado” perjudican a los imputados, pues el retraso en la instrucción formal del expediente sancionador impide planamente el ejercicio de sus derechos de defensa”. Señala así que, en su caso, no ha podido aportar “las comunicaciones que mantuvo con su cliente por el cauce interno establecido por el banco con sus proveedores” porque se encontraba ya fuera del sistema de contratación de ING. Insiste, por tanto, que esta forma de actuar de la administración supone “que deba considerarse como fecha de inicio del procedimiento el de las diligencias preliminares y la nulidad de las actuaciones”. Así, reitera la cita a la STS1312/2021 de 4 de noviembre de 2021 cuando determina: “… Las actuaciones previas, excepto que estas se utilicen fraudulentamente para alargar el plazo de seis meses para concluir el procedimiento sancionador, debiéndose entender que la inactividad injustificada y desproporcionada de la Administración desde la finalización de las actuaciones previas al inicio del expediente sancionador, conculca el derecho del interesado a la buena administración en su manifestación de no sufrir dilaciones indebidas y conlleva la nulidad de las posteriores actuaciones llevadas a cabo”. Por último, asegura que, en la propuesta de resolución no se ha dado debida respuesta a sus alegaciones relativos a la dilación de los tiempos por parte de la AEPD, en la medida en que la reclamación fue admitida a trámite en septiembre de 2023, mientras que el acuerdo de inicio no se produjo hasta enero de 2025, lo que le ha causado indefensión. www.aepd.es sedeaepd.gob.es 20/70 3. Tercera alegación: Prescripción de las infracciones. - En sus alegaciones acepta como cierto que la contratación de servicios de DYNAMIC por ING se produjo el 1 de septiembre de 2022 y que, en ese momento, ya trabajaba con la red SENDING. Asegura que la falta de diligencia de la AEPD ha producido la prescripción de las infracciones. Por otra parte, cuestiona el carácter continuado de las infracciones, tal y como se señalaba en la propuesta de resolución, e insiste en que: o En cuanto a la “incorrección” del contrato de encargo entre SENDING y DYNAMIC, asegura que: “la firma posterior de un contrato correcto con ese fin no impediría la comisión de la infracción porque ya se habría prestado el servicio sin ese contrato adecuado. Por ello, no estamos ante una infracción continua, como erróneamente señada sin mayor análisis la propuesta de resolución, pues se trata de un tipo sancionador que se verifica en un solo momento. Se trata de la comisión de un ilícito de actividad, no de resultado, y para ese ilícito de actividad debe de fijarse una fecha objetiva determinada, un “dies a quo” objetivo e indubitado, que no es otro que el inicio de la relación contractual sin un contrato adecuado de tratamiento de datos personales”. o En cuanto a la falta de autorización de ING para subcontratar con SENDING y con AUTORADIO, asegura: “la conducta sancionada se verifica con la firma del contrato de prestación de servicios de transporte entre DYNAMIC y SENDING sin la autorización previa del cargador inicial (ING). La continuación de la relación de transporte entre todos los integrantes de la cadena sin esa autorización previa no constituye una infracción continuada ni de carácter duradero o permanente porque se trata de un tipo sancionador de comisión única: el contrato incompleto y sin el consentimiento del responsable se firma una única vez y es en ese momento cuando se produce la conducta sancionada”. 4. Cuarta alegación: infracción del principio de tipicidad. - - - C/ Jorge Juan 6 28001 - Madrid Asegura que las infracciones propuestas en la propuesta de resolución varían respecto a las contenidas en el acuerdo de inicio, lo que supone, en tanto que se ha producido “una modificación sustancial de las conductas imputadas”, un “motivo de nulidad de la resolución sancionadora que pueda recaer”. Asegura que la nueva imputación del artículo 28.2 del RGPD sobre “incumplir deberes” respecto a AUTORADIO se basa en que DYNAMIC conocía desde el inicio que SENDING iba a contratar los servicios de AUTORADIO para sus encargos de ING, cosa que niega. Reitera su alegación relativa a que la AEPD está sancionando dos veces la misma conducta por considerar que el artículo 28.2 de la RGPD “no busca sancionador cada vez que un integrante de una cadena de transporte interviene en esta sin autorización (…), sino una conducta genérica: la imposibilidad del responsable del tratamiento de los datos de controlar esa www.aepd.es sedeaepd.gob.es 21/70 - - cadena porque el encargado no ha obtenido esa autorización previa. Esa conducta se habría producido, en ese caso, una única vez, DYNAMIC no habría obtenido la autorización previa de ING en su cadena de suministro, lo que constituye una única infracción (…)”. Sostiene, además, que no se le dio respuesta a esta alegación en la propuesta de resolución. En cuanto a la infracción del artículo 28.4 del RGPD, señala que, de nuevo, se ha producido una “mutación en la acusación” puesto que “no se reprocha no tener contrato con SENDING, sino que ese contrato no cumpliría los requisitos del precepto, al parecer, no incluir idéntico contenido que el firmado entre ING y SENDING”. Asegura que se trata de defectos de carácter formal y que, por tanto, “la existencia de un contrato (…) aunque no con el contenido que la AEAP considera necesario, descarta la existencia de culpabilidad”. Asegura así, que se trata de errores de “carácter formal” que no pueden suponer una sanción tan elevada. Afea a la AEPD la imposición de una sanción en lugar de la imposición de medidas correctivas, lo que demuestra “su afán sancionador”. 5. Quinta alegación: desacuerdo con los hechos que se consideran probados - - Señala que, a diferencia de lo que se incluye en la propuesta de resolución, DYNAMIC no conocía la existencia de AUTORADIO al inicio de su contrato con ING, por tanto, no pudo informar, con carácter previo a ING. Reitera que es falso que ING no conociera “regularmente los transportistas que DYNAMIC y sus colaboradores subcontratan” y que, por error, en el contrato entre ING y DYNAMIC, la propia ING señaló como “único encargado subcontratado (…) de DYNAMIC (A.A.A.). DYNAMIC no se percató del error hasta más adelante, pero no le dio mayor importancia porque regularmente reportaba las empresas que intervenían en su cadena logística”. Señala que no puede probar lo anterior puesto que todas las comunicaciones con ING las realizaba a través de un sistema interno al que ya no tiene acceso y que, el hecho de que la AEPD haya dilatado las actuaciones le ha causado indefensión. Manifiesta que, por ello, solicitó práctica de la prueba pero que el instructor del procedimiento no se asegurado de que ING aportara la documentación requerida, “completándose así la indefensión a la que ha sido sometida DYNAMIC para acreditar su correcta actuación”. Por último, señala que “la propia ING reconoce en la documentación aportada que conocía que AUTORADIO recogía documentación para ellos por cuenta de DYNAMIC (mail de 1 de septiembre de 2023)”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 22/70 ING y DYNAMIC suscribieron un contrato de prestación de servicios de recogida documental, con su correspondiente contrato de encargo, vigente entre el 1 de septiembre de 2022 y el 28 de febrero de 2023. Conforme al mismo, ING, responsable del tratamiento, encomendaba a DYNAMIC, los servicios de recogida de documentación de los clientes de ING, previa concertación de una cita con la empresa de mensajería por parte del cliente. SEGUNDO: En el contrato de encargo entre ING y DYNAMIC se establecía como requisitos acumulativos para realizar un contrato de subencargo por parte del encargado: (…). TERCERO: En la página 14 del mencionado contrato, en su apartado g), se establece el listado de los subencargados autorizados, en el que únicamente figura: (…). CUARTO: Durante la vigencia del contrato entre ING y DYNAMIC, DYNAMIC contó como subcontratado y subencargado con SENDING, tal y como reconocen ambas entidades. Su relación se amparaba en un Contrato de arrendamiento de servicios de transporte entre suscrito entre ambas el 1 de octubre de 2021 y un Contrato de tratamiento de datos personales de 4 de enero de 2022. QUINTO: Ninguno de los acuerdos suscritos entre DYNAMIC y SENDING hacía mención a ING como responsable. En el Contrato de arrendamiento de servicios de transporte suscrito entre ambas el 1 de octubre de 2021 se reconocen como responsables y encargados mutuos, en función del origen de los paquetes. En el Contrato de tratamiento de datos personales de 4 de enero de 2022 se identifica a DYNAMIC como encargado del tratamiento (sin identificar al responsable) y a SENDING como subencargada del tratamiento. SEXTO: Durante la vigencia del contrato entre ING y DYNAMIC, SENDING contó como subcontratado y subencargado con AUTORADIO, tal y como reconocen ambas entidades y confirma DYNAMIC. La relación entre estas se amparaba en un contrato de prestación de servicios suscrito entre SENDING y AUTORADIO el 23 de enero de 2009 y una adenda a esta: Adenda de 24 de mayo de 2022 al contrato de arrendamiento de servicios de 23 de enero de 2009: contrato de tratamiento de datos personales. SÉPTIMO: Ninguno de los acuerdos suscritos entre SENDING y AUTORADIO hacían mención a ING como responsable. En el contrato de prestación de servicios suscrito entre SENDING y AUTORADIO el 23 de enero de 2009 se reconocen como responsables y encargados mutuos, en función del origen de los paquetes. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 23/70 En la adenda de 24 de mayo de 2022 se identifica a SENDING como encargado (sin identificar al responsable) y a AUTORADIO como subencargado. OCTAVO: DYNAMIC tenía conocimiento de que SENDING había subcontratado y subencargado con AUTORADIO, pero no lo comunicó a ING. NOVENO: No consta acreditación documental de que ING autorizara o tuviera conocimiento de la existencia de SENDING o AUTORADIO como subencargados. Además, ING niega haber autorizado a SENDING y AUTORADIO como subencargados en el marco del contrato con DYNAMIC, ni tener conocimiento de su existencia. DÉCIMO: En el marco del contrato entre ING y DYNAMIC, el 24 de enero de 2023 la parte reclamante, cliente de ING, siguiendo las instrucciones facilitadas por esta entidad, concertó la recogida de documentación relativa a su alta como nuevo interviniente en una cuenta bancaria. El mismo día, recibe una etiqueta de identificación del envío por parte de DYNAMIC. ÚNDECIMO: El 26 de enero de 2023 la empresa AUTORADIO recoge la documentación en el domicilio de la parte reclamante por encargo de SENDING, que, a su vez, había recibido el encargo de DYANAMIC, tal y como reconocen las tres entidades. El número de seguimiento de la recogida era ***ENVÍO.1 y el destinatario ING. DUODÉCIMO: De acuerdo con el detalle de expedición de la recogida con código ***ENVÍO.1 la documentación, que había de entregarse a ING el 27 de enero de 2023, no llegó a su destinatario. DÉCIMOTERCERO: La documentación extraviada contenía los datos personales de la parte reclamante presentes en el formulario remitido (nombre, apellidos, número de DNI, fecha de nacimiento, país de nacimiento, nacionalidad, país de residencia fiscal, dirección de correo electrónico, número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica) y los datos personales de la pareja de la parte reclamante (nombre, apellidos, número de DNI, número de cuenta y rúbrica). Además, entre la documentación extraviada constaba una copia completa del DNI de la parte reclamante, que tenía que ser facilitada al mensajero, de acuerdo con las instrucciones del formulario de alta de nuevo interviniente de ING y los datos personales consignados en la etiqueta. DÉCIMOCUARTO: El 1 de septiembre de 2023 ING contactó por primera vez con DYNAMIC para confirmar si la recogida del 26 de enero de 2023 en el domicilio de la parte reclamante había sido realizada por esta en los siguientes términos: “(…).” DÉCIMOQUINTO: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 24/70 DYNAMIC es una empresa constituida en el año 2014, y con un volumen de negocios de (…) euros en el año 2023, de acuerdo con el informe recogido de la herramienta AXESOR. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II. Cuestiones previas 1. Aspectos básicos desde la perspectiva de protección de datos: responsable y encargado. El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 25/70 persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD Versión 2.0, adoptadas el 7 de julio de 2021 (en adelante, Directrices del CEPD 07/2020) destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” Asimismo, las referidas Directrices 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de la AEPD). A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices 07/2020 destacan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 26/70 En cuanto al concepto de encargado, las Directrices 07/2020 indican dos condiciones fundamentales para ser considerado encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
- a)ser un ente independiente del responsable del tratamiento; y
- b)tratar datos personales por cuenta del responsable.” (subrayado de la AEPD) Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Las referidas Directrices del CEPD 07/2020 resaltan que nada impide que el encargado del tratamiento (en este caso, DYNAMIC) ofrezca un servicio previamente definido: “84. Tal como se ha indicado previamente, nada impide que el encargado del tratamiento ofrezca un servicio previamente definido, pero el responsable del tratamiento debe adoptar la decisión final de aprobar el modo en que se efectuará el tratamiento, al menos en lo relativo a los medios esenciales.” (subrayado de la AEPD). En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que DYNAMIC realizaba la recogida y conservación de datos personales de personas físicas que remitían documentación a la entidad bancaria ING, como ocurrió con la parte reclamante. Entre los datos tratados por DYNAMIC se encuentran el nombre, apellidos, DNI o la dirección o la dirección postal. Asimismo, las dos condiciones exigidas por el CEPD concurren en el supuesto analizado en la relación entre DYNAMIC e ING: DYNAMIC es un ente independiente de ING que trata los datos de clientes o potenciales clientes de este último para hacerle llegar la documentación remitida por aquellos. Además, los tratamientos de datos personales de clientes o potenciales clientes de ING, los realiza DYNAMIC se llevan a cabo siguiendo los intereses de ING, que es quien determina los fines y medios del tratamiento. Atendiendo a lo anterior, DYNAMIC realiza, esta actividad en su condición de encargado del tratamiento del tratamiento, dado que ING es quien determina los fines y los medios de la actividad de conformidad con el artículo 4.7 del RGPD, mientras que DYNAMIC trata (durante la vigencia de su contrato con ING) los datos personales por cuenta del responsable del tratamiento en virtud del artículo 4.8 del RGPD. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 27/70 Así, en la relación entre ING y DYNAMIC, ING es el responsable del tratamiento, puesto que es quien determina los fines y los medios de dicho tratamiento conforme al artículo 4.7 RGPD. Esta relación jurídica se pone de manifiesto en el contrato suscrito entre ING y DYNAMIC vigente entre el 1 de septiembre de 2022 hasta el 28 de febrero de 2023. El contrato tiene por objeto la regulación de las condiciones bajo las cuales DYNAMIC prestaría servicios de mensajería, en particular de recogida de documentación previo concierto de la fecha, hora y lugar por los clientes de ING quienes contactarían directamente con DYNAMIC a estos efectos. Asimismo, el contrato establece las obligaciones y responsabilidades de las partes respecto de los datos personales a los que DYNAMIC tendría acceso conforme a los pactos estipulados en el documento. De la misma manera, se reconoce a DYNAMIC como encargado del tratamiento, en tanto que el acceso a los datos personales de los clientes de ING es un elemento necesario para la prestación de servicios. El contrato lo establece en los siguientes términos: “(…)”. Asimismo, se indica que: “(…)”. 2. Sobre los encargados y subencargados del tratamiento: Por otra parte, conviene señalar que una de las principales novedades del RGPD supone el reconocimiento de obligaciones propias y específicas a los encargados del tratamiento, entre las que destacan, por ejemplo, que los encargados tienen que mantener un registro de actividades de tratamiento, o que tienen que designar un delegado de protección de datos, en los casos en que así lo prevé el RGPD o cumplir con determinadas exigencias establecidas por el artículo 28. En este sentido se ha pronuncia el CEPD en las mencionadas Directrices al señalar: “93. Un nuevo rasgo característico del RGPD son las disposiciones que imponen obligaciones directamente a los encargados del tratamiento. Por ejemplo, el encargado del tratamiento debe garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad (artículo 28, apartado 3), debe llevar un registro de todas las categorías de actividades de tratamiento (artículo 30, apartado 2) y debe aplicar medidas técnicas y organizativas apropiadas (artículo 32). También debe designar un delegado de protección de datos cuando se den determinadas condiciones (artículo 37) y tiene el deber de notificar sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento (artículo 33, apartado 2). Además, las reglas sobre las transferencias de datos a terceros países (capítulo V) no solo se aplican a los responsables del tratamiento, sino también a los encargados. En este sentido, el CEPD considera que el artículo 28, apartado 3, del RGPD, pese a prescribir la inclusión de un contenido concreto en el contrato necesario entre el responsable y el encargado del tratamiento, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 28/70 impone obligaciones directas a los encargados, incluido el deber de ayudar al responsable del tratamiento a garantizar el cumplimiento de las obligaciones”. El incumplimiento de las obligaciones específicas que el RGPD establece al encargado del tratamiento, permiten la exigencia de responsabilidades directas a este, sin olvidar, además, que, en línea con el carácter funcional del concepto de responsable y encargado del tratamiento, el artículo 28.10 del RGPD prevé que, si “un encargado infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD, entre las que se encuentran obligaciones específicas exigibles al encargado del tratamiento. El artículo 28 del RGPD estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
- a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
- b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
- c)tomará todas las medidas necesarias de conformidad con el artículo 32;
- d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
- e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 29/70 solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
- f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
- g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
- h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
- h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 30/70 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento." El cumplimiento de las obligaciones previstas en el artículo 28 del RGPD no es una obligación meramente formal, sino que tiene un contenido material en la medida en que permiten asegurar uno de los ejes vertebradores del RGPD: garantizar el control de sus datos personales por parte de los interesados. De ahí que, en palabras del CEPD el artículo 28 pretenda asegurar que: “112. (…) la «protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento [...] requieren una atribución clara de las responsabilidades» en virtud del RGPD”. Por otra parte, el RGPD alude a la posibilidad de que el encargado recurra a “otro encargado” en su artículo 28.2. También se hace referencia a “otro encargado” en el artículo 28.4 del RGPD al determinar que “cuando el encargado del tratamiento recurra a otro encargado para llevar determinadas actividades de tratamiento por cuenta del responsable, se impondrán a ese otro encargado (…) las mismas obligaciones de protección de datos que las estipuladas (…) entre el responsable y el encargado”. A este respecto se pronuncian también las Directrices 07/2020 que definen a ese “otro encargado” del RGPD como “subencargado” en aquellos supuestos en los que el encargado del tratamiento recurra a otro (u otros) encargados: “75 (…) en el tratamiento de datos personales pueden participar múltiples encargados. Por ejemplo, un responsable del tratamiento puede decidir por su cuenta involucrar directamente a múltiples encargados recurriendo a encargados diferentes en distintas fases independientes del tratamiento (en lo sucesivo, «múltiples encargados»). Un responsable del tratamiento también puede decidir recurrir a un encargado, que, a su vez, recurra ―con la autorización del responsable― a otro u otros encargados (en lo sucesivo, «subencargados») (…)”. (El subrayado es de la AEPD). Establecido este concepto, las mencionadas Directrices señalan que para determinar si una entidad actúa como subencargada, debe hacerse el mismo análisis que se ha reflejado en párrafos anteriores respecto al encargado, esto es, determinar si se cumplen las dos condiciones básicas de independencia y de tratar por cuenta de otro: “151. En las actividades de tratamiento de datos suele intervenir un gran número de participantes y la cadena de subcontrataciones es cada vez más C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 31/70 compleja. (…) Para analizar si el prestador de servicios actúa como subencargado, debe tenerse en cuenta lo descrito previamente en relación con el concepto de encargado”. (El subrayado es de la AEPD) Sin olvidar que quien determinará los fines y medios será, en cualquier caso, el responsable: “152. A pesar de que la cadena puede ser bastante larga, el responsable del tratamiento conserva su papel central en la determinación de los fines y medios del tratamiento (…)” En definitiva, de acuerdo con las Directrices 07/2020 el subencargado es aquel que ha sido contratado para realizar actividades de tratamiento específicas por alguien (el encargado) que, a su vez, ha sido contratado para tratar datos personales por cuenta de un tercero y conforme a las instrucciones de este tercero. En el supuesto que nos ocupa, SENDING es una entidad independiente de DYNAMIC subcontratada por ésta para realizar operaciones de tratamiento de datos personales en el marco del contrato que DYNAMIC mantiene con el responsable del tratamiento (ING). Por tanto, SENDING trata los datos de clientes o potenciales clientes de ING y ostenta la condición de “encargado del encargado” del tratamiento. En conclusión, SENDING es el subencargado del tratamiento, mientras que DYNAMIC es el encargado del tratamiento e ING el responsable del tratamiento. III. Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por DYNAMIC se debe señalar lo siguiente: 1. Respecto a la primera alegación relativa a la caducidad y la nulidad del expediente. - Es necesario diferenciar entre las actuaciones previas de investigación reguladas en el artículo 67 de la LOPDGDD, de las actuaciones de traslado previstas en el artículo 65.4 de la LOPDGDD y de la apertura de un procedimiento sancionador regulado en el artículo 68 de la LOPDGDD. Así, se subraya que las dos primeras son actuaciones que la norma permite a la AEPD, sin que tengan carácter obligatorio antes de la apertura de un procedimiento sancionador por medio de un acuerdo de inicio. De esta manera, contrariamente a lo señalado por DYNAMIC, en el presente supuesto, no se han llevado a cabo actuaciones previas de investigación en el marco del presente expediente. Únicamente se han realizado actuaciones de traslado a través de las cuales se han recabado elementos suficientes para determinar la apertura de un procedimiento sancionador mediante el acuerdo de inicio dictado el 10 de enero de 2025 y notificado a DYNAMIC el 13 de enero de 2025 en los términos exigidos por el artículo 64 de la LPACAP. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 32/70 Tras el inicio del procedimiento, la siguiente fase del procedimiento es la de instrucción, en la que DYNAMIC ha presentado las alegaciones que ha considerado oportunas al acuerdo de inicio, solicitado la práctica de pruebas -que fue admitida y acordada- y aportado la documentación que ha estimado pertinente en esa fase del procedimiento. En consecuencia, no se ha producido, como indica DYNAMIC, una privación de su participación en la instrucción del procedimiento. Por otra parte, no cabe aceptar tanto la afirmación de que las actuaciones previas de investigación se han utilizado fraudulentamente para alargar el plazo del procedimiento sancionador. Se reitera que en el presente caso no han tenido lugar estas actuaciones que deben tener una duración máxima de 18 meses desde la admisión a trámite de la reclamación. Por otra parte, no cabe apreciar la afirmación de que se ha producido una dilación indebida del procedimiento desde la admisión a trámite de la reclamación, en la medida en que la LOPDGDD no prevé un plazo máximo para el inicio del procedimiento sancionador desde la admisión a trámite de la reclamación y, además, el procedimiento sancionador se ha iniciado a raíz del acuerdo de inicio de 10 de enero de 2025, sin que tengan las actuaciones realizadas con anterioridad por parte de esta Agencia en el ejercicio de sus potestades la consideración de procedimiento. No cabe, en consecuencia, estimar la nulidad alegada por DYNAMIC, especialmente cuando esta no se basa en ninguno de los supuestos previstos en el artículo 47 de la LPACAP. 1. En relación con la segunda alegación por la que se alega la prescripción de las infracciones. Conviene señalar en primer término que la calificación de las infracciones exclusivamente a efectos de prescripción de las infracciones viene determinada por la LOPDGG y no, como señala DYNAMIC, por el RGPD. En el presente caso, la prescripción de las infracciones del artículo 28.2 del RGPD se establece en el artículo 73
- l)de la LOPDGDD, mientras que la prescripción de las infracciones del artículo 28.4 del RGPD viene marcada por el 73
- k)de la misma norma. En ambos casos, la prescripción se establece en el plazo de 2 años desde que se produjeran los hechos que dieron lugar a la infracción. Señalado lo anterior, asegura DYNAMIC que las infracciones estarían prescritas en tanto que el contrato de encargo entre ING y DYNAMIC data de 1 de septiembre de 2022 y que, en esa fecha, DYNAMIC ya contaba con SENDING. Asegura, por tanto, que la fecha que ha de tomarse de referencia a efectos de determinar la prescripción de la infracción es la del inicio del contrato de encargo. En consecuencia, considera que las infracciones habrían prescrito el 1 de septiembre de 2024, mientras que el acuerdo de inicio se dictó el 10 de enero de 2025. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 33/70 No obstante, DYNAMIC obvia que las infracciones se mantuvieron en el tiempo hasta el fin de la vigencia del contrato entre ING y DYNAMIC, teniendo la condición de continuadas. Las infracciones continuadas son, en palabras del Tribunal Supremo (TS) en su STS de 7 de marzo de 2006 “aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un solo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor, caso del desarrollo en el tiempo de actividades sin las preceptivas autorizaciones y otros supuestos semejantes”. En el caso que nos ocupa, las infracciones consistentes en contar con subencargados sin autorización previa y por escrito de ING o sin contar con el correspondiente contrato de subencargo, se remontan al inicio de la relación contractual entre ING y DYNAMIC, manteniéndose en el tiempo hasta el fin de este contrato el 28 de febrero de 2023. En consecuencia, la fecha de prescripción de las infracciones sería el 28 de febrero de 2025. El acuerdo de inicio fue dictado el 10 de enero de 2025 y notificado a DYNAMIC el 13 de enero de 2025, por lo que no se aprecia la prescripción alegada por la parte reclamada. 2. En cuanto a la tercera alegación en la que se señala que DYNAMIC no mantenía una relación con AUTORADIO. - En cuanto a las alegaciones relativas a las infracciones vinculadas a SENDING por las que asegura que no procede la imputación del artículo 28.2 del RGPD: Asegura DYNAMIC que ING era conocedora de su relación con SENDING puesto que se lo comunicó durante el proceso de licitación. A este respecto conviene señalar que DYNAMIC no acredita esta manifestación, que ING niega en su contestación al trámite de prueba demandado por DYNAMIC. Así, ING, responsable del tratamiento, asegura que el único subencargado autorizado figuraba en el contrato entre ambas entidades, sin que DYNAMIC le comunicara otro. Además, DYNAMIC alega la existencia de un error en el contrato firmado entre las partes por el que en el contrato figuraba su propio nombre en lugar del de SENDING. Señala que comunicó a ING que debía corregirse. No obstante, no aporta prueba acreditativa alguna de este hecho, que ING niega cuando asegura que DYNAMIC nunca le comunicó la existencia de ningún otro proveedor. Por otra parte, DYNAMIC asegura que contaba con un contrato con SENDING, por lo que no procede la imputación del artículo 28.4 relacionado con esta entidad. A estos efectos aporta un contrato de prestación de servicios entre DYNAMIC y SENDING de octubre de 2021, además de un contrato entre ambas de enero de 2022. Se C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 34/70 subraya, no obstante, que en ninguno de los documentos se nombra a ING y que ambos datan de fecha anterior al contrato suscrito con ING. - En cuanto a las alegaciones relativas a las infracciones vinculadas a AUTORADIO: Procede estimar la alegación relativa a la imputación del artículo 28.4 del RGPD relativa a AUTORADIO. DYNAMIC señalaba que AUTORADIO era subencargado de SENDING, por lo que no cabía contrato entre AUTORADIO y DYNAMIC. Dado que ha quedado acreditado este hecho durante la práctica de la prueba, procede el archivo de la infracción del artículo 28.4 del RGPD relativa a la ausencia de contrato de subencargo entre AUTORADIO y DYNAMIC. Por otra parte, en relación con el artículo 28.2 del RGPD, asegura DYNAMIC que ING era conocedor del subencargo de SENDING con AUTORADIO y, además, que en la medida en que fue SENDING quien realizó el subencargo con esta entidad, no procede imputarle a DYNAMIC estos hechos. No obstante, como se desarrollará más adelante, se subraya que ING ha negado haber sido informado de este subencargo del que, sin embargo, DYNAMIC asegura tener conocimiento. Así, el artículo 28.2 del RGPD exige al encargado no solo contar con una autorización previa y por escrito del responsable antes de hacer un subencargo, sino también, informar al responsable sobre cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a los cambios. Asimismo, el artículo 28.4 del RGPD señala que el encargado será responsable ante el responsable del tratamiento de los incumplimientos de sus subencagados. Por tanto, procede mantener la imputación del artículo 28.2 del RGPD en los términos que se determinarán en el correspondiente fundamento jurídico. 1. Respecto a la cuarta alegación, relativa a la cuantificación de la sanción. - Alega DYNAMIC que se está aplicando de forma incorrecta el tipo sancionador porque este prevé “la contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable”. Así, aun sin especificarlo, realiza una interpretación literal del contenido del artículo 73
- l)de la LOPDGDD que califica, a efectos de prescripción, como infracción grave: “la contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles”. A este respecto, conviene, en primer lugar, diferenciar entre la tipificación de las infracciones y la calificación de la infracción a exclusivos efectos de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 35/70 prescripción. El principio de tipicidad supone, en palabras del Tribunal Constitucional (TC), que “la imperiosa necesidad de predeterminación normativa de las conductas infractoras y de las sanciones correspondientes, es decir, la existencia de preceptos jurídicos (lex previa) que permitan predecir con suficiente grado de certeza (lex certa) aquellas conductas y se sepa a qué atenerse en cuanto a la aneja responsabilidad y a la eventual sanción” (por todas, STC 61/1990, de 29 de marzo). , la tipificación de las infracciones se realiza por el propio RGPD en sus artículos 83.4, 83.5 y 83.6. En estos artículos, el RGPD rehúye de la tradicional diferenciación entre infracciones muy graves, graves y leves, y distingue, atendiendo a su vocación de permanencia en el tiempo, entre aquellos incumplimientos que puedan suponer una multa administrativa de un máximo de 10.000.000 euros o del 2% del volumen de negocio (artículo 83.4) y aquellos que puedan suponer como máximo 20.000.000 de euros o el 4% del volumen de negocios (artículo 83.5). Además, se tipifica el incumplimiento de las resoluciones de las autoridades de control (artículo 83.6). Por tanto, la clasificación incluida en la LOPDGDD que diferencia entre infracciones muy graves, graves, y leves debe entenderse únicamente a efectos de determinar los plazos de prescripción de las infracciones y, exclusivamente, a modo ejemplificativo, como indica la exposición de motivos de la mencionada norma: “La categorización de las infracciones se introduce a los solos efectos de determinar los plazos de prescripción, teniendo la descripción de las conductas típicas como único objeto la enumeración de manera ejemplificativa de algunos de los actos sancionables que deben entenderse incluidos dentro de los tipos generales establecidos en la norma europea”. Asimismo, el artículo 71 de la LOPDGDD establece: “constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Por tanto, la tipificación de las infracciones del artículo 28 (ya sea de cualquiera de sus apartados) se establece en el artículo 83.4
- a)del RGPD, que se limita a identificarlas como infracciones de las obligaciones del responsable y del encargado a tenor del artículo 28 del RGPD. Aclarada esta cuestión, conviene señalar que constituye una infracción administrativa, de acuerdo con el artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), una vulneración al ordenamiento jurídico prevista como tal infracción por una ley. Por tanto, cada vulneración del ordenamiento jurídico supone una infracción separada, siempre que tal vulneración estuviera tipificada por el ordenamiento jurídico. En el presente caso, el artículo 28 del RGPD exige contar con una autorización previa por escrito del responsable cada vez que recurra a otro encargado. En consecuencia, cada vez que el encargado recurra a un subencargado sin contar con una autorización previa por escrito, estará vulnerando el mencionado artículo, siendo los hechos distintos en la medida en que varía la contraparte o las particularidades de cada contratación efectuada. Por tanto, ha de desestimarse la alegación. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 36/70 - En relación con la determinación de la cuantificación de la multa y la alegación relativa a que no se ha aplicado lo previsto en el artículo 29 de la LRJSP y que “únicamente se han utilizado criterios agravantes” como los previstos en los artículos 83.2
- b)y
- g)del RGPD y 76.2
- b)de la LOPDGDD, es necesario precisar lo siguiente: Primero, el artículo 63.2 de la LOPDGDD prevé lo siguiente: “los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El RGPD establece su propio sistema sancionador y de determinación de la cuantía de la multa en el artículo 83, sin perjuicio de que prevea la aplicación subsidiaria de los principios básicos del derecho sancionador. Por tanto, de acuerdo con el principio de especialidad normativa (lex specialis derogat legi generali), es de aplicación preferente la ley especial (esto es, lo contenido en el RGPD y en la LOPDGDD) sobre la ley general, que tendrá aplicación subsidiaria. Por otra parte, se señala que la tipificación de la infracción del artículo 28 del RGPD se establece en el artículo 83.4 del RGPD y no en el artículo 83.2 del RGPD como señala DYNAMIC. El artículo 83.2 del RGPD consagra las diferentes circunstancias que habrán de tenerse en cuenta a la hora de determinar la cuantía de la sanción. Además, es preciso subrayar que, tal y como señalan las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, existen tres elementos como punto de partida para la imposición de una multa: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso concreto. Este nivel de gravedad no debe confundirse con el término “gravedad” utilizado tradicionalmente en la jurisprudencia española a efectos de calificación de una infracción entre muy grave, grave y leve. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2
- a)naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2
- b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
- g)las categorías de los datos de carácter personal afectados. Sobre ese punto de partida determinado por esos tres elementos, se podrán aplicar circunstancias agravantes o atenuantes (el resto de los elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). Dicho lo anterior, se remarca que en el presente caso se incluían en el acuerdo de inicio como circunstancias para determinar el nivel de gravedad lo previsto en los artículos 83.2
- b)y 83.2
- g)del RGPD y, por otra parte, en C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 37/70 forma de agravante, lo previsto en el artículo 76.2
- b)de la LOPDGDD relacionado con el artículo 83.2
- k)del RGPD. No se han tenido en cuenta, a diferencia de lo que señala DYNAMIC, otros agravantes. La aplicación del agravante contenido en el artículo 76.2
- b)de la LOPDGDD es indiscutible, en la medida en que DYNAMIC, en tanto que empresa de mensajería, realiza de manera habitual y evidente tratamientos de datos personales como consecuencia de su actividad principal. En relación con las circunstancias apreciadas para determinar el nivel de gravedad en los términos del RGPD, procede la aplicación de la circunstancia prevista en el artículo 83.2 g), en la medida en que el contrato entre DYNAMIC y ING preveía la recogida de documentación dirigida a la entidad bancaria, entre la que se incluían datos sensibles en los términos señalados por la Guía de Multas a estos efectos, como la cuenta bancaria y el número de DNI. Además, de acuerdo con las instrucciones de ING, durante la recogida de la documentación era imperativo facilitar una copia del DNI al mensajero. Por otra parte, el acuerdo de inicio recogía también la circunstancia del artículo 83.2 b), intencionalidad o negligencia, frente a la que alega DYNAMIC que no procede. En este sentido, no se aprecia por esta instrucción una especial negligencia o intencionalidad que sea reseñable y que lleve a apreciar esta circunstancia de forma distinta a neutra en la medida en que existía algún tipo de documentación que recogía la relación con las diferentes empresas. Por última, se considera que debe valorarse e incluirse en esta propuesta a efectos de determinar la cuantía de la multa a imponer, las circunstancias previstas en el artículo 83.2 a), en especial en lo relativo a la duración de la infracción, en la medida en que la relación contractual entre ING y DYNAMIC no superó los 6 meses. En consecuencia, estas valoraciones se tendrán en cuenta en el apartado correspondiente a la determinación de la cuantía de la multa en esta propuesta de resolución. 1. En lo referente a la quinta alegación, por la que se solicita la práctica de prueba. Si bien la solicitud de la apertura del periodo de prueba por parte de DYNAMIC no debe considerarse una alegación en tanto que no tiene tal naturaleza, se significa, tal y como se recoge en los antecedentes de hecho, que durante la instrucción del procedimiento se acordó la apertura del periodo de prueba el 7 de febrero de 2025, admitiendo las pruebas propuestas por DYNAMIC. IV. Contestación a las alegaciones a la propuesta de resolución Se procede a dar contestación a las alegaciones realizadas por DYNAMIC a la propuesta de resolución. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 38/70 1. Respecto a la primera alegación, por la que se reiteran, con carácter general las alegaciones efectuadas al acuerdo de inicio, procede reiterar, con carácter general la contestación efectuada a las mismas, que se contiene en el fundamento de derecho III de esta resolución. 2. En cuanto a la segunda alegación, relativa a la caducidad y nulidad del expediente. - Reitera DYNAMIC que se ha producido una instrucción previa a la incoación del acuerdo de inicio del presente procedimiento sancionador, aun cuando estas reciban el nombre de actuaciones previas de investigación o actuaciones de traslado de acuerdo con la LOPDGDD. Insiste, además, en que se mantuvieron contactos previos con “su cliente” (ING). Insiste DYNAMIC en que se ha producido una utilización fraudulenta de las actuaciones previas, puesto que se ha vulnerado el principio de buena administración, como consecuencia de la inactividad de la AEPD, que ha llevado a que se tramite un procedimiento sancionador en 2025 respecto a una reclamación presentada en 2023. Asegura que todo ello le ha generado indefensión. En contestación a lo anterior, se aclara: De nuevo se insiste, tal y como se indicó en la contestación a las alegaciones al acuerdo de inicio, en que la actuación por parte de la AEPD se ha realizado conforme a la normativa aplicable, en particular lo previsto en la LOPDGG. De acuerdo con la misma, la admisión a trámite una reclamación se produce a los 3 meses desde su presentación. Sin olvidar que el artículo 65.4 de la LOPDGDD prevé la posibilidad de, con carácter previo, proceder al traslado de la reclamación. En ese contexto, fue realizado el traslado a ING. Se remarca que, en este caso, no se han llevado a cabo actuaciones previas de investigación, reguladas en el artículo 67 de la LOPDGDD en este supuesto, que, por otra parte, la LOPDGG permite que se alarguen hasta 18 meses desde la admisión a trámite. Por otra parte, se subraya, de nuevo, que la LOPDGDD no prevé un plazo máximo para el inicio de un procedimiento sancionador, sin perjuicio de los plazos de caducidad de las actuaciones previas de investigación o el plazo de prescripción de una infracción, que no se ha producido en este supuesto. No se aprecia, por tanto, la alegada indefensión señalada por DYNAMIC, toda vez que, conforme a lo establecido legalmente, la apertura del presente procedimiento sancionador se realizó mediante un acuerdo de inicio de 10 de enero de 2025 que fue debidamente notificado a DYANMIC el 13 de enero de 2025, en el que se imputaban dos presuntas infracciones del artículo 28.2 del RGPD y dos presuntas infracciones del artículo 28.4 del RGPD, tipificadas todas ellas en el artículo 83.4 del RGPD, y se daba a DYNAMIC plazo para alegaciones. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 39/70 Recibidas las alegaciones de DYNAMIC, se acordó, a propuesta de esta, la apertura de un periodo de pruebas en el que se requirieron todas las cuestiones por ella reclamadas a las entidades ING, SENDING y AUTORADIO. Valoradas las pruebas durante la instrucción del procedimiento, se dictó propuesta de resolución el 6 de agosto de 2025, que fue notificada a DYNAMIC ese mismo día. En la misma se incluía, por cierto, la propuesta de archivo de una de las infracciones del artículo 28.4 del RGPD, así como la imputación final de dos infracciones del artículo 28.2 y una infracción del artículo 28.4 del RGPD, sin perjuicio de ciertas variaciones respecto a la imputación inicial. Asimismo, en atención a las circunstancias del caso concreto, se propuso la minoración de la cuantía de cada una de las multas a 5.000 euros (15.000 euros en total). De la misma manera, se otorgó a DYNAMIC un plazo para que presentara las alegaciones que estimara oportunas. A la vista de lo anterior, no solo no se aprecia indefensión, puesto que, en el marco de este procedimiento, DYNAMIC ha podido solicitar las pruebas que ha considerado oportunas y formular alegaciones, sino que, además, no cabe señalar que la propuesta de resolución venía determinada por las actuaciones de traslado, ni tampoco que no se haya llevado a cabo una auténtica instrucción en el procedimiento o falta de diligencia por parte de la AEPD. - Por último, en contestación a la alegación relativa a que no se dio respuesta a estas cuestiones en la propuesta de resolución, se reproduce, a continuación, la contestación realizada que resulta de plena aplicación: “Es necesario diferenciar entre las actuaciones previas de investigación reguladas en el artículo 67 de la LOPDGDD, de las actuaciones de traslado previstas en el artículo 65.4 de la LOPDGDD y de la apertura de un procedimiento sancionador regulado en el artículo 68 de la LOPDGDD. Así, se subraya que las dos primeras son actuaciones que la norma permite a la AEPD, sin que tengan carácter obligatorio antes de la apertura de un procedimiento sancionador por medio de un acuerdo de inicio. De esta manera, contrariamente a lo señalado por DYNAMIC, en el presente supuesto, no se han llevado a cabo actuaciones previas de investigación en el marco del presente expediente. Únicamente se han realizado actuaciones de traslado a través de las cuales se han recabado elementos suficientes para determinar la apertura de un procedimiento sancionador mediante el acuerdo de inicio dictado el 10 de enero de 2025 y notificado a DYNAMIC el 13 de enero de 2025 en los términos exigidos por el artículo 64 de la LPACAP. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 40/70 Tras el inicio del procedimiento, la siguiente fase del procedimiento es la de instrucción, en la que DYNAMIC ha presentado las alegaciones que ha considerado oportunas al acuerdo de inicio, solicitado la práctica de pruebas -que fue admitida y acordada- y aportado la documentación que ha estimado pertinente en esa fase del procedimiento. En consecuencia, no se ha producido, como indica DYNAMIC, una privación de su participación en la instrucción del procedimiento. Por otra parte, no cabe aceptar tanto la afirmación de que las actuaciones previas de investigación se han utilizado fraudulentamente para alargar el plazo del procedimiento sancionador. Se reitera que en el presente caso no han tenido lugar estas actuaciones que deben tener una duración máxima de 18 meses desde la admisión a trámite de la reclamación. Por otra parte, no cabe apreciar la afirmación de que se ha producido una dilación indebida del procedimiento desde la admisión a trámite de la reclamación, en la medida en que la LOPDGDD no prevé un plazo máximo para el inicio del procedimiento sancionador desde la admisión a trámite de la reclamación y, además, el procedimiento sancionador se ha iniciado a raíz del acuerdo de inicio de 10 de enero de 2025, sin que tengan las actuaciones realizadas con anterioridad por parte de esta Agencia en el ejercicio de sus potestades la consideración de procedimiento. No cabe, en consecuencia, estimar la nulidad alegada por DYNAMIC, especialmente cuando esta no se basa en ninguno de los supuestos previstos en el artículo 47 de la LPACAP”. 3. En lo relativo a la tercera alegación, referente a la prescripción de las infracciones. - En relación con la prescripción de las infracciones y el cuestionamiento de que las infracciones tengan carácter continuado, como se señalaba en la propuesta, es necesario realizar una serie de precisiones: Primero, si bien la propuesta de resolución indicaba, por error, que las infracciones eran “continuadas”, incluía la definición realizada por el TS sobre las infracciones “permanentes”. Dicho lo anterior, conviene aclarar que, a diferencia de lo señalado por DYNAMIC que sostiene que las infracciones tienen carácter puntual, cada una de las tres infracciones imputadas tiene carácter permanente. Así, las infracciones permanentes son “aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un solo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor, caso del desarrollo en el tiempo de actividades sin las preceptivas autorizaciones y otros supuestos semejantes”, de acuerdo con la STS de 7 de marzo de 2006 a la que se hizo referencia en la propuesta de resolución. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 41/70 En este sentido se ha pronunciado el Tribunal Supremo, Sala de lo Contencioso Administrativo, Sección Tercera, en la sentencia 978/2020 de 09/07/2020, N.º de Recurso 4700/2019, que recoge la jurisprudencia de esta Sala sobre las denominadas “infracciones permanentes”: - En STS de 28 de enero de 2018 (recurso núm. 2697/2016) se señala que “la infracción permanente no requiere un concurso de conductas ilícitas sino una única acción de carácter duradero, cuyo contenido antijurídico se prolongue a lo largo del tiempo, en tanto el sujeto activo no decida cesar en la ejecución de su conducta”. - En STS, de 4 de noviembre de 2013 (recurso de casación núm. 251/2011), que justifica que “si la persistencia en el incumplimiento no pudiera ser sancionada se estaría propiciando la impunidad pues el cumplimiento de la obligación dependería de la ponderación entre el coste del cumplimiento y el importe de la multa; y una vez impuesta la sanción el cumplimiento de la obligación solo dependería de la voluntad del infractor sin posibilidad de ser sancionado por ello.” Las tres infracciones imputadas, a saber, (
- i)la ausencia de autorización previa y por escrito de ING para contar con SENDING como subencargado (artículo 28.2 RGPD), (
- ii)incumplimiento del deber de informar al responsable sobre la contratación de AUTORADIO por SENDING (artículo 28.2 RGPD) y (iii) la ausencia de contrato de subencargdo con SENDING en los términos exigidos por el RGPD (artículo 28.4 RGPD) constituyen, respectivamente, un único ilícito que se mantiene en el tiempo y que es susceptible de interrupción por la sola voluntad del infractor. Así, la ausencia de autorización previa y por escrito de ING se extendió durante la vigencia de todo el contrato con ING (entre el 1 de septiembre y el 28 de febrero de 2023), aun cuando en cualquier momento DYNAMIC podría haberlo solventado y recabado la debida autorización o, por el contrario, puesto fin al subencargo no autorizado. Lo mismo ocurre con el incumplimiento del deber de informar al responsable de la contratación de AUTORADIO por SENDING, así como de la ausencia de contrato válido entre DYNAMIC y SENDING. Una vez determinado el carácter permanente de las infracciones, cabe añadir que no existe la prescripción alegada por DYNAMIC. Así, el artículo 30.2 de la LRJSP señala que el plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Ahora bien, en el caso de infracciones continuadas o permanentes, “el plazo comenzará a correr desde que finalizó la conducta infractora”. En los mismos términos se pronuncia la sentencia de la Sala de lo Contencioso Administrativo del Tribunal Supremo, sec. 5ª, de 23 de julio de 2024, nº 1407/2024, rec. 2801/2023. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 42/70 La prescripción de las infracciones del artículo 28.2 del RGPD se establece en el artículo 73
- l)de la LOPDGDD, mientras que la prescripción de las infracciones del artículo 28.4 del RGPD viene marcada por el 73
- k)de la misma norma. En ambos casos, se establece un plazo de prescripción de dos años. En consecuencia, tal y como se recogía en la propuesta de resolución, la fecha de prescripción de las infracciones sería el 28 de febrero de 2025 (fecha de fin de la vigencia del contrato entre ING y DYNAMIC durante el cual se extendieron las infracciones en el tiempo). Se reitera, por tanto, que el acuerdo de inicio fue dictado el 10 de enero de 2025 y notificado a DYNAMIC el 13 de enero de 2025, por lo que no se aprecia la prescripción alegada por la parte DYNAMIC. 4. En respuesta a la cuarta alegación relativa a la infracción del principio de tipicidad. - En cuanto a las afirmaciones de DYNAMIC relativas a que la resolución sancionadora que se dicte adolecerá de nulidad puesto que las imputaciones contenidas en la propuesta de resolución no se corresponden con la que figuraban en el acuerdo de inicio, conviene recordar que, inicialmente se imputaba a DYNAMIC en el acuerdo de inicio las siguientes infracciones: o o o o la presunta infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4
- a)del RGPD, en relación con la ausencia de autorización de subencargo para SENDING. la presunta infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4
- a)del RGPD, por la ausencia de autorización de subencargo respecto a AUTORADIO. la presunta infracción del artículo 28.4 RGPD, tipificada en el artículo 83.4
- a)del RGPD, por la ausencia de contrato de subencargo con SENDING. la presunta infracción del artículo 28.4 RGPD, tipificada en el artículo 83.4
- a)del RGPD, por la ausencia de contrato de subencargo con AUTORADIO. Todo ello, tal y como se indicaba en el propio acuerdo de inicio de manera reiterada “sin perjuicio de lo que resulte de la instrucción”. Así, la propuesta recoge, tras la instrucción realizada, las siguientes imputaciones: o C/ Jorge Juan 6 28001 - Madrid una infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD, por contar con SENDING como subencargado, sin autorización previa y por escrito del responsable. www.aepd.es sedeaepd.gob.es 43/70 o o una infracción del artículo 28.2 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD, por incumplimiento del deber de informar al responsable sobre la contratación de AUTORADIO por SENDING. una infracción del artículo 28.4 del RGPD, tipificada en el artículo 83.4.
- a)del RGPD, por no contar con un contrato de subencargo con SENDING en los términos exigidos por el RGPD. Y, a