PS-00109-2024 | Europaius

1/15  Expediente N.º: EXP202401246 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EUROBOX, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202401246 (PS/00109/2024) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18 de noviembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra EUROBOX, S.A. con NIF A11611282 (en adelante, EUROBOX). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que su cuenta en ***CUENTA.1 ha sido suspendida y para volver a activarla le han solicitado documentación acreditativa de su identidad, de su domicilio y de su situación laboral y financiera. Según indica, "Respondo a todas sus preguntas, pese a dudar completamente de la legalidad de estas" y tras haber facilitado toda la documentación solicitada por la entidad, aún no han reactivado su cuenta. Junto a la notificación se aporta una serie de correos electrónicos intercambiados entre la parte reclamante y EUROBOX. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a EUROBOX, para que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23 de enero de 2024 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 18 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 21 de febrero de 2024 se recibe en esta Agencia escrito de respuesta al traslado de la reclamación, indicando que solicitaron a la parte reclamante una serie de documentos debido a que su comportamiento en el uso de los servicios de EUROBOX, era indicativo de un jugador profesional, lo cual está específicamente prohibido por el Art 2

a)Ley 13/201, y como medida consecuente implementada para abordar las violaciones de los términos y condiciones establecidos que rigen dicha plataforma de juego, concluyendo que realmente se había producido un incumplimiento de los términos y condiciones de la contratación, por lo que la cuenta de la parte reclamante fue suspendida, sin ponerlo en su conocimiento al tratarse de una información confidencial del operador. Por otra parte, respecto a la petición de las conversaciones del chat de EUROBOX solicitada por la parte reclamante, la empresa afirma haberlas remitido, y que no les constaba ninguna solicitud de ejercicio del derecho de acceso. Sin embargo, sí hubo una solicitud de información de fecha 23 de octubre de 2023 que EUROBOX reconoce que no fue atendida debidamente por un error humano. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EUROBOX, S.A. es una microempresa constituida en el año 1981, y con un volumen de negocios de 557.369 euros en el año 2021. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EUROBOX, en el desarrollo de su actividad empresarial, realiza la recogida y conservación de datos personales de personas físicas, entre otros tratamientos. EUROBOX realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Dentro de los principios del tratamiento previstos en el artículo 5.1 del RGPD, se encuentran, en su apartado
c)el de minimización de datos, por su parte, en el 13 del RGPD regula la “información que deberá facilitarse cuando los datos personales se obtengan del interesado”. III Minimización de datos El artículo 5 del RGPD, “Principios relativos al tratamiento”, establece que los datos personales serán: “
a)[…]
c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); […] El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” Para nuestra jurisprudencia constitucional, si el derecho a la intimidad actúa como barrera frente a injerencias o intromisiones de otros (STC 142/1993, de 22/04), el derecho a la protección de datos «consiste en un poder de disposición y de control sobre los datos personales» (SSTC 290 y 292/2000, de 30/11); si el derecho a la intimidad limita el conocimiento por parte de terceros de ciertos aspectos de la persona (aspectos íntimos o relativos a su vida privada y familiar), el derecho a la protección de datos proporciona garantías de disposición y control respecto de datos personales que pueden pertenecer o no al ámbito de la intimidad y que pueden ser objeto de conocimiento y manejo por parte de otros; si el derecho a la intimidad es derecho de abstención de otros respecto de nuestra esfera personal, el derecho a la protección de datos implica sobre todo autodeterminación sobre nuestros datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 En el presente caso, con fecha 16 de octubre de 2023, EUROBOX solicita los siguientes datos a la parte reclamante: domicilio registrado, profesión actual, sueldo bruto anual, si juega con fondos propios o cedidos por terceros y última nómina o declaración trimestral en el caso de ser autónomo. La petición de estos datos, según este correo, se basa en la política de “Juego más seguro” de EUROBOX. Sin embargo, en la respuesta al traslado de la reclamación realizado por esta Agencia, EUROBOX afirmó que “La suspensión de la cuenta de juego fue tomada en respuesta a la identificación de un comportamiento que es indicativo de un jugador profesional, como está específicamente prohibido por el Art 2
a)Ley 13/201, y como medida consecuente implementada para abordar las violaciones de los T&Cs establecidos que rigen la plataforma de juego.” Por lo tanto, no queda clara la finalidad para la que se solicitan todos esos datos, y en qué medida son necesarios para identificar las conductas a que se refiere EUROBOX a fin de conseguir un juego más seguro o que el comportamiento de la parte reclamante sea indicativo de un jugador profesional. Con relación a la Política de Privacidad de EUROBOX, en su apartado 2 se recoge la información relativa a los tratamientos de datos de carácter personal que no precisan el consentimiento de los usuarios, y en el apartado 3 aquellos que exigen el consentimiento de los usuarios (páginas 11 a 14 del expediente). En ambos apartados se enumeran aquellos datos personales que van a ser tratados por EUROBOX. En ninguno de estos apartados se dice expresamente que puedan recogerse datos tales como la profesión, retribuciones brutas anuales o el origen de todos sus ingresos. Existe una mención a “cualquier otra información que pueda ser intercambiada entre EUROBOX y el Usuario”, lo que supondría que EUROBOX pudiera exigir todo tipo de datos a sus usuarios. Por otra parte, en la cláusula 7 del contrato (página 34 del expediente), no se contempla, ante el incumplimiento del contrato o de la ley vigente, la exigencia de estos datos a los usuarios de EUROBOX, tan sólo se recoge la posible suspensión del servicio o la clausura de su registro de usuario. EUROBOX no puede solicitar a sus usuarios todo tipo de datos, como ocurre en los correos remitidos a la parte reclamante, en los que en ningún caso se justifican para qué se necesitan tales datos ni parecen relevantes para el fin para el que los piden. Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD), el cual, en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos, atribuido por el artículo 70 del RGPD, con fecha 20 de octubre de 2020 adoptó las Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto (https://edpb.europa.eu/system/files/202104/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_es.pdf). En el apartado 76 de dichas directrices se establece que “Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos pueden ser los siguientes: • Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente. • Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 • Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia. • Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios.” De la aplicación de estas características del principio de minimización de datos, se deduce que no puede justificarse la recogida de los datos de la parte reclamante realizada por parte de EUROBOX, datos personales que no son necesarios ni son pertinentes con un tratamiento cuya finalidad ni siguiera ha sido identificada debidamente. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a EUROBOX, por vulneración del artículo 5.1.
c)del RGPD. IV Tipificación y calificación de la infracción De confirmarse, la citada infracción del artículo 5.1.
c)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15
a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. V Propuesta de sanción por la infracción del artículo 5.1.
c)del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en el artículo 83 del RGPD, que señala: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto de este último apartado
k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores.
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción de lo dispuesto en el artículo 5.1.
c)del RGPD, tipificada en el artículo 83.5.
a)del RGPD, en una valoración inicial, se estiman concurrentes en el presente caso los siguientes factores: Como criterios de graduación del 83.2 del RGPD aplicados como agravantes: Artículo 83.2.
a)del RGPD: El número de personas afectadas. Aunque se trate de un único reclamante, los clientes de EUROBOX se han podido ver afectados por este tipo de prácticas en cuanto a la cantidad de datos que se recogen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 Artículo 83.2.
g)del RGPD: Las categorías de los datos de carácter personal afectados por la infracción. El tratamiento afectaba, entre otros, a datos personales de carácter financiero. Estos son datos que merecen una especial protección. Como criterio de graduación del artículo 76.2 de la LOPDGDD, aplicado como agravante: Artículo 76.2.
b)de la LOPDGDD: La vinculación de la actividad del infractor con la realización de tratamientos de datos personales: EUROBOX en el desarrollo de su actividad empresarial de plataforma de juego online, necesita tratar de forma habitual datos personales, lo que supone que tiene experiencia suficiente y debería contar con el adecuado conocimiento para el tratamiento de dichos datos Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 8.000 € (ocho mil euros) por la infracción del artículo 5.1.
c)del RGPD tipificada en el artículo 83.5
a)RGPD. VI Información que deberá facilitarse cuando los datos personales se obtengan del interesado El Artículo 13, “Información que deberá facilitarse cuando los datos personales se obtengan del interesado”, del RGPD establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)los datos de contacto del delegado de protección de datos, en su caso;
c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15
a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d)el derecho a presentar una reclamación ante una autoridad de control;
e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” En el presente caso, no consta que EUROBOX haya facilitado a la parte reclamante la información a la que obliga el artículo 13 del RGPD en el momento en el que se obtuvieron sus datos. En el correo de 16 de octubre de 2023, EUROBOX solicita una serie de datos a la parte reclamante: justificar el domicilio registrado, para “llevar a cabo una verificación adicional de tu cuenta”, y acreditar una serie de datos, en base a la política de “Juego más Seguro”. No se facilita a la parte reclamante ningún tipo de información acerca de los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento. Como se argumenta en este documento, ni siquiera queda clara la finalidad por la que estos datos personales son requeridos por EUROBOX. Si fue en cumplimiento de su política de “Juego más Seguro”, no se dio información a la parte reclamante en base qué cláusula de sus Términos y Condiciones de Contratación se refiere a esta circunstancia. Si, como se dice en la contestación al traslado, se solicitó por detectarse un comportamiento indicativo de un jugador profesional, tampoco se citó la base legal que determinara la licitud del tratamiento. Sin perjuicio de que la petición de datos de EUROBOX a la parte reclamante pueda suponer un tratamiento de datos excesivos, la información acerca de estas categorías de datos debería recogerse en su Política de Privacidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a EUROBOX, por vulneración del artículo 13 del RGPD. VII Tipificación y calificación de la infracción del artículo 13 del RGPD De confirmarse, la citada infracción del artículo13 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
b)los derechos de los interesados a tenor de los artículos 12 a 22; “ A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. VIII Propuesta de sanción por la infracción del artículo 13 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar inicialmente una sanción de 2.000€ (dos mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 IX Adopción de medidas De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, en la resolución que se adopte, se podrá requerir a EUROBOX para que en el plazo de 3 meses acredite a esta Agencia la adopción de las siguientes medidas, sin perjuicio de otras que pudieran derivarse de la instrucción del procedimiento: - Ajustar su actuación al principio de minimización y recabar solo datos pertinentes para el servicio. - Adaptar la información de su Política de Privacidad para garantizar una información acorde con el art. 13 del RGPD respecto a los datos personales que pueden ser recabados de los interesados. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a EUROBOX, S.A., con NIF A11611282, por la presunta infracción del Artículo 5.1.
c)del RGPD, tipificada en el artículo 83.5 del RGPD, y por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor a B.B.B. y, como secretario, a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 - Por la supuesta infracción del artículo 5.1.
c)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 8.000,00 euros - Por la supuesta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 2.000,00 euros. QUINTO: NOTIFICAR el presente acuerdo a EUROBOX, S.A., con NIF A11611282, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000,00 euros o 6.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-18032024 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 30 de mayo de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202401246, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a EUROBOX, S.A. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a EUROBOX, S.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.