← España

PS-00089-2023

1/15  Expediente N.º: EXP202302170 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BORSA MEDIC, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: EXP202302170 (PS/00089/2023) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: Con fecha 14/01/23, D. A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirigía contra la entidad BORSA MEDIC, S.L. con CIF.: B01770437, (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). El reclamante manifiesta que, tras solicitar la supresión de sus datos personales a la reclamada en marzo de 2022 y a pesar de la resolución estimatoria de la Agencia en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 PD/00186/2022, de octubre de 2022, instando a la reclamada a dar respuesta a la solicitud de supresión formulada por el reclamante, este recibe un nuevo mensaje de WhatsApp de carácter comercial en fecha 02/01/23. Junto con el escrito de reclamación aporta captura de pantalla del mensaje recibido, constando la fecha de recepción y la línea emisora ***TELÉFONO.1. SEGUNDO: Con fecha 23/02/23, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. TERCERO: Como antecedentes a la presente reclamación, existe, con fecha 18/04/22, una anterior reclamación del reclamante contra BORSA MEDIC, S.L., por no haber sido debidamente atendida su solicitud de ejercicio de derechos establecidos en el RGPD, pues ejerció el derecho de supresión frente al reclamado, sin que su solicitud hubiera recibido la contestación legalmente establecida. La parte reclamante aportó en su momento diversa documentación relativa a la reclamación planteada, abriéndose en esta Agencia expediente PD/00186/2022 por estos hechos, en cuya resolución, notificada al reclamado el 28/10/22, se le requería para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remitiese a la parte reclamante certificación por la que se atendía el derecho de supresión ejercido o se denegase motivadamente indicando las causas por las que no procedía atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. También se le requería para que, las actuaciones realizadas como consecuencia del expediente PD/00186/2022 fueran comunicadas a esta Agencia en idéntico plazo y que el incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.

  1. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. La entidad reclamada no ha acreditado, respecto a la resolución indicada, que haya dado respuesta a la solicitud de ejercicio de derechos que le fue presentada por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 parte reclamante. Tampoco consta en esta Agencia que haya notificado actuación alguna en el sentido indicado. FUNDAMENTOS DE DERECHO ICompetencia - Sobre el envío de comunicaciones comerciales: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, de conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). - Sobre el requerimiento hecho en la resolución del expediente PS/000186/22: Es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD. II.-1 Sobre el incumplimiento de la resolución en el PD/00186/2022: Como antecedentes a la presente reclamación, existe, con fecha 18/04/22, una anterior reclamación del reclamante contra BORSA MEDIC, S.L., por no haber sido debidamente tendida su solicitud de ejercicio de derechos establecidos en el RGPD, pues ejerció el derecho de supresión frente al reclamado, sin que su solicitud hubiera recibido la contestación legalmente establecida. La parte reclamante aportó en su momento diversa documentación relativa a la reclamación planteada, abriéndose en esta Agencia expediente PD/00186/2022 por estos hechos, en cuya resolución se requería a la entidad reclamada para que, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remitiese a la parte reclamante certificación por la que se atendía el derecho de supresión ejercido o se denegase motivadamente indicando las causas por las que no procedía atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. También se le requería para que, las actuaciones realizadas como consecuencia del expediente PD/00186/2022 fueran comunicadas a esta Agencia en idéntico plazo y que el incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.
  2. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. La entidad reclamada no ha acreditado, respecto a la resolución indicada, que haya dado respuesta a la solicitud de ejercicio de derechos que le fue presentada por la parte reclamante. Tampoco consta en esta Agencia que haya notificado actuación alguna en el sentido indicado. II.-2 Obligación incumplida De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada ha incumplido la resolución de la Agencia Española de Protección de Datos. Por tanto, los hechos descritos en el apartado de “Hechos” se estiman constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 58.2.
  3. c)del RGPD, que dispone lo siguiente: 2.Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  4. c)ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 II.-3 Tipificación y calificación de la infracción Esta infracción se tipifica en el artículo 83.6 del RGPD, que estipula lo siguiente: El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” II.-4 Graduación de la Sanción La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones del artículo 83.2 del RGPD, el cual establece que: “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  5. a)a
  6. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  7. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  8. b)la intencionalidad o negligencia en la infracción;
  9. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  10. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  11. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  12. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  13. g)las categorías de los datos de carácter personal afectados por la infracción;
  14. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  15. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  16. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  17. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  18. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  19. a)El carácter continuado de la infracción.
  20. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  23. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  24. f)La afectación a los derechos de los menores.
  25. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  26. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada, en una valoración inicial, se estiman concurrentes en el presente caso los siguientes factores: - La intencionalidad o negligencia de la infracción, por parte de la entidad, (apartado b), partiendo de que conocía la resolución del expediente PD/00186/2022 desde la fecha de su notificación el 28/10/22 donde se le emplazaba para que, en el plazo de los diez días hábiles siguientes a la notificación de la resolución, remitiese a la parte reclamante certificación por la que se atendía el derecho de supresión ejercido o se denegase motivadamente indicando las causas por las que no procedía atender la petición, e informase a esta Agencia de su actuación, y pese a ello, no solamente no ha ejercido la obligación impuesta, sino que envió un nuevo mensaje publicitario al reclamante, dos meses después, el día 02/01/23. Se considera de especial importancia recordar en este punto, la SAN de 17 de octubre de 2007 (rec. 63/2006), donde se indica que: “…el TS viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 Por tanto, si nos atenemos a la jurisprudencia del TS, podríamos considerar incluso este apartado como agravante cualificado, al constatarse la falta de diligencia debía en este caso, con respecto a la gestión de los datos personales. El balance de las circunstancias contempladas, con respecto a la infracción cometida, al vulnerar lo establecido en su artículo 58.2.
  27. c)del RGPD, permite fijar una sanción inicial de 5.000 euros (dos mil euros). II.-5 Cumplimiento de las Medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  28. c)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento”. En tal caso, en la resolución que se adopte, esta Agencia podrá ordenar al responsable para que en el plazo que se determine notifique a la Agencia la adopción de las medidas necesarias derivadas del incumplimiento de la resolución del procedimiento PD/00186/2022. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. III.-1 Sobre el envío de mensajes publicitarios habiéndose opuesto previamente a ello: El reclamante manifiesta que, tras solicitar la supresión de sus datos personales a la reclamada en marzo de 2022 y a pesar de la resolución estimatoria de la Agencia en el PD/00186/2022, de octubre de 2022, instando a la reclamada a dar respuesta a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 solicitud de supresión formulada por el reclamante, este recibe un nuevo mensaje de WhatsApp de carácter comercial en fecha 02/01/23. Junto con el escrito de reclamación aporta captura de pantalla del mensaje recibido, constando la fecha de recepción y la línea emisora ***TELÉFONO.1. III.-2 Tipificación de la posible infracción cometida El artículo 21 de la LSSI, dispone lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 III.-3 Propuesta de Sanción Por tanto, de conformidad con las evidencias de las que se dispone en este momento, y sin perjuicio de lo que resulte de la instrucción, los hechos expuestos podrían suponer la vulneración del artículo 21 de la LSSI, por parte de la entidad reclamada al reclamante un mensaje publicitario tras oponerse a ello. La citada infracción se encuentra tipificada como “leve” en el art. 38.4.
  29. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  30. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €. De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 40 de la LSSI: - Apartado b): Plazo de tiempo durante el que se haya venido cometiendo la infracción, considerando que el reclamado presentó, con fecha 18/04/22 la primera reclamación por los mensajes publicitarios recibidos y que con fecha 02/01/23 volvió a recibir un nuevo mensaje publicitario. Con arreglo a dichos criterios, se estima adecuado imponer una sanción inicial de 5.000 euros (cinco mil euros), por la infracción del artículo 21 de la LSSI, respecto del envío de correos electrónicos publicitarios tras oponerse a recibir comunicaciones electrónicas de este tipo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad, BORSA MEDIC, S.L. con CIF.: B01770437, por las siguientes infracciones - Infracción del artículo 58.2.
  31. c)del RGPD por no cumplir los requerimientos de esta Agencia al ordenarle que atendiese la solicitud de ejercicio de los derechos del interesado sobre sus datos personales. - Infracción del artículo 21) de la LSSI al enviar comunicaciones comerciales al reclamante después de que éste ejerciera derecho a oponerse a recibir dichos mensajes NOMBRAR: como Instructor a D. B.B.B., y Secretaria, en su caso, a Dª C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
  32. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de - 5.000 euros (cinco mil euros), por la infracción del artículo 58.2.
  33. c)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 - 5.000 euros (cinco mil euros), por la infracción del artículo 21 LSSI. La sanción total que pudiera corresponder sería de, 10.000 euros (diez mil euros) NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad, BORSA MEDIC, S.L. con CIF.: B01770437, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  34. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 2.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 2.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000 euros (seis mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 11 de julio de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  35. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI), los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202302170, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a BORSA MEDIC, S.L. para que en el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a BORSA MEDIC, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  36. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.