PS-00087-2023

1/7  Expediente N.º: EXP202302365 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de reclamación presentada ante la Agencia Española de Protección de Datos, apreciándose indicios de un posible incumplimiento de lo dispuesto en el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), se iniciaron actuaciones con número de expediente EXP202200361. Se admitió a trámite la reclamación con fecha 3 de abril de 2022. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la citada LOPDGDD. En el marco de las actuaciones de investigación, se remitió a RING RING CLIN S.L. con NIF B05359799, un requerimiento de información, relativo a la reclamación reseñada en el apartado primero, para que, en el plazo de diez días hábiles, presentase ante esta Agencia la información y documentación que en él se señalaba. El requerimiento fue registrado de salida en fecha 24 de octubre de 2022. TERCERO: El requerimiento de información, que se notificó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido por RING RING CLIN S.L. con fecha 1 de noviembre de 2022, como consta en el acuse de recibo que obra en el expediente. CUARTO: Con fecha 28 de noviembre de 2022, se registró de entrada en esta Agencia, con el número REGAGE22e00054171301, escrito en el que RING RING CLIN S.L. alega que no puede aportar la información solicitada porque la contratación del usuario de la línea telefónica de la que se solicita información fue realizada por la mercantil ALPEAN SERVICIOS S.L., en calidad de subcontrata suya, quien hizo el cliente y llamó, debiéndose requerir esa información a dicha mercantil. QUINTO: Tras la respuesta de RING RING CLIN S.L. de 28 de noviembre de 2022, se le remitieron dos nuevos requerimientos de información, para que, en el plazo de diez días hábiles, aportase a esta Agencia el contrato suscrito con la citada subcontrata. Los requerimientos fueron registrados de salida en fechas 20 de diciembre de 2022 y 12 de enero de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Estos requerimientos de información, que se notificaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fueron recogidos por RING RING CLIN S.L. con fechas 21 de diciembre de 2022 y 23 de enero de 2023, como consta en los acuses de recibo que obran en el expediente. SEXTO: RING RING CLIN S.L. no ha remitido a esta Agencia Española de Protección de Datos la documentación solicitada. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad RING RING CLIN S.L. se constituyó en el año 2021 con un capital de 3.100 euros y no ha depositado nunca Cuentas Anuales. OCTAVO: Con fecha 8 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a RING RING CLIN S.L., con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). NOVENO: El citado acuerdo de inicio fue recogido por RING RING CLIN S.L. con fecha 17 de marzo de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: Con fecha 10 de abril de 2023 y número de registro de entrada REGAGE23e00023142788, RING RING CLIN S.L. presenta escrito de alegaciones en el que manifiesta que lleva tiempo las realizando gestiones pertinentes para su extinción, siendo una de estas gestiones el proceso de destrucción de documentación de la empresa, siendo esta la razón por la que no se ha podido aportar la información solicitada. UNDÉCIMO: De acuerdo con la información obrante en el Registro Mercantil, RING RING CLIN S.L. está inscrita en el Registro Mercantil de Albacete, Sección 8, Hoja 28734, y su situación es Activa. Por la información recogida en Axesor, no hay constancia de actos mercantiles de extinción ni de ninguna otra clase publicados en el Boletín Oficial del Registro Mercantil (BORME) desde la constitución de la sociedad en 2021. DUODÉCIMO: Con fecha 24 de abril de 2023, se formuló propuesta de resolución, en la que se proponía que por la Directora de esta Agencia se sancionara a RING RING CLIN S.L. por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 500,00 €. Esta propuesta de resolución fue notificada fehacientemente a la parte reclamada y contra la misma no se han presentado alegaciones. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 PRIMERO: Los requerimientos de información indicados en el antecedente quinto fueron notificados electrónicamente, con arreglo a lo dispuesto en el artículo 43 de la LPACAP. SEGUNDO: RING RING CLIN S.L. no ha respondido a dichos requerimientos de información en los plazos otorgados para ello, en el marco de las actuaciones de investigación referenciadas con el código EXP202200361. TERCERO: La notificación del acuerdo de inicio del presente procedimiento sancionador se practicó conforme a lo dispuesto en el artículo 43 de la LPACAP con fecha 17 de marzo de 2023. CUARTO: RING RING CLIN S.L. ha presentado alegaciones al acuerdo de inicio de este procedimiento sancionador recogidas en el antecedente décimo. QUINTO: RING RING CLIN S.L. es una sociedad constituida en 2021 y que en la fecha presente continúa su actividad, según la información obrante en el Registro Mercantil y en las publicaciones del BORME de la entidad recogidas en Axesor. SEXTO: La notificación de la propuesta de resolución fue recogida por RING RING CLIN S.L. el 4 de mayo de 2023. SÉPTIMO: RING RING CLIN S.L. no ha presentado alegaciones a la propuesta de resolución de este procedimiento sancionador. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones al acuerdo de inicio del presente expediente presentadas por RING RING CLIN S.L. se debe señalar lo siguiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 El primer requerimiento de información no atendido, para el que se otorgaba un plazo de respuesta de diez días hábiles, se notificó con fecha 21 de diciembre de 2022. Asimismo, se hizo otro requerimiento de información, notificado el 23 de enero de 2023, para el que se volvió a otorgar un plazo de respuesta de diez días hábiles y finalmente se acordó el inicio del procedimiento sancionador el 8 de marzo de 2023, sin que hasta esa fecha se hubiera recibido contestación a ninguno de estos dos requerimientos realizados. La respuesta a los requerimientos de información durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción. Por lo que se refiere a la información comunicada en las alegaciones, por parte de esta Agencia se acusa recibo, sin que esta declaración suponga ningún pronunciamiento sobre la misma. Se advierte de que la falta de contrato con un encargado del tratamiento puede suponer una infracción del artículo 28 del RGPD, que en su apartado 3 dispone que: “El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.” III Obligación incumplida De conformidad con las evidencias de las que se dispone, se considera que RING RING CLIN S.L. no ha procurado a la Agencia Española de Protección de Datos la información que le requirió con anterioridad al acuerdo de inicio del presente procedimiento sancionador. Con la señalada conducta de RING RING CLIN S.L., la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable a RING RING CLIN S.L., por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación: “

1. a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
2. b)llevar a cabo investigaciones en forma de auditorías de protección de datos;
3. c)llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
4. d)notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento;
5. e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
6. f)obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 IV Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone, se considera que los hechos expuestos se estiman constitutivos de una infracción, imputable a RING RING CLIN S.L. Esta infracción se tipifica en el artículo 83.5.
7. e)del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1.” En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.
8. o)La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente.” V Sanción imputada A tenor de los hechos expuestos, se considera que corresponde imputar a RING RING CLIN S.L. por la vulneración del artículo 58.1 del RGPD tipificada en el artículo 83.5
9. e)del RGPD. La sanción que corresponde imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En consecuencia, se deberá graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
10. k)del citado artículo 83.2 RGPD. Se aprecia que no resulta de aplicación ningún atenuante ni agravante. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a RING RING CLIN S.L., con NIF B05359799, por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 500,00 euros (QUINIENTOS euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 SEGUNDO: ORDENAR a RING RING CLIN S.L. que, de acuerdo con el poder de investigación dispuesto en el artículo 58.1.
11. a)del RGPD, se facilite, en el plazo de diez días hábiles, la información requerida en los requerimientos realizados en el marco de las actuaciones con número de expediente EXP202200361 y a los que se ha referido en los antecedentes de esta resolución. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador TERCERO: NOTIFICAR la presente resolución a RING RING CLIN S.L. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
12. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
13. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es