1/6 Procedimiento Nº: PS/00116/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 4 de junio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Avalos Consultores, S.L., con NIF B98832637 (en adelante, la reclamada). La reclamante manifiesta que la reclamada con la que tenía contratados los servicios de Asesoría Fiscal ha transmitido sus datos a la gestoría Torrent Asesores Nga, S.L, sin su consentimiento. Fecha en la que tuvieron lugar los hechos reclamados: con anterioridad al 31 de marzo de 2020. Junto a la reclamación se aporta la siguiente documentación: - Factura del año 2017, donde consta la gestoría con la que contrató los servicios de asesoría fiscal. - Factura del 31 de marzo de 2020, formalizada por la otra gestoría. - Correo electrónico del 1 de junio de 2020, remitido a las dos gestorías, reclamando por dicho hecho y señalando que nunca le han comunicado el traslado de documentación a tercera empresa, ni lo ha autorizado. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 27 de noviembre de 2020, se dirige escrito al reclamante admitiendo su reclamación a trámite. Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es la reclamada. Asimismo, se constatan los siguientes extremos: 1. Consta que en las actuaciones con referencia E/05051/82021, se dio traslado de la reclamación a la entidad reclamada el 21 de julio de 2020, a través del servicio de notificaciones electrónicas, siendo devuelta por haber expirado el plazo de entrega. 2. Se comprueba, a partir de la documentación aportada por la reclamante, que los datos personales facilitados en el año 2017 por la reclamante a la reclamada figuran en la factura emitida por la tercera empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 3. Se realiza requerimiento de información sobre las causas que han motivado la reclamación presentada por la reclamante a la reclamada el 1 de febrero y el 16 de febrero de 2021, en las actuaciones con referencia E/09749/2020, a través del servicio de notificaciones electrónicas y del servicio postal de correos. Siendo ambas notificaciones devueltas. La primera de ellas, por haber expirado el plazo de entrega y la segunda devuelta a origen por sobrante. Al no haber sido retirada en la oficina de correos. 4. Se realiza requerimiento de información sobre las causas que han motivado la reclamación presentada por la reclamante a la gestoría Torrent. 5. Consta que el el 21 de julio de 2020, y el 1 y 16 de febrero de 2021, se dio traslado de la denuncia a la reclamada en las actuaciones con referencia E/09749/2020, a través del servicio de notificaciones electrónicas y del servicio postal de correos. Siendo ambas notificaciones devueltas. La primera de ellas, por haber expirado el plazo de entrega y la segunda devuelta a origen por sobrante. Al no haber sido retirada en la oficina de correos. TERCERO: Con fecha 14 de abril de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la presunta infracción del Artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD y considerada muy grave en el 72.1.a), a efectos de prescripción, fijando una sanción inicial de 4.000 euros (cuatro mil euros). CUARTO: Habiendo sido notificado electrónicamente, el acuerdo de inicio. Siendo la fecha de puesta a disposición el día 14 de abril de 2021y la fecha de rechazo automático el día 25 del mismo mes y año. QUINTO: Notificado formalmente el acuerdo de inicio, la reclamada al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
- f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PRIMERO: Consta que la reclamada cedió los datos de la reclamante a un tercero. SEGUNDO: Se constata, a partir de la documentación aportada por la reclamante, que los datos personales facilitados en el año 2017 por la reclamante a la reclamada figuran en la factura emitida por la tercera empresa. TERCERO: Consta que la reclamada no contestó a esta Agencia, tras los requerimientos efectuados el 1 y el 16 de febrero de 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 CUARTO: El 14 de abril de 2021, se inició este procedimiento sancionador por la infracción del artículo 6 del RGPD, siendo notificado el 25 de abril del 2021. No habiendo efectuado alegaciones, la reclamada, al acuerdo de inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se imputa a la reclamada la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” III Los apartados b),
- d)e
- i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV La documentación que obra en el expediente ofrece evidencias de que la parte reclamada, vulneró el artículo 6.1 del RGPD, toda vez que de las actuaciones practicadas se desprende que la reclamada trató los datos sin legitimación para ello de la reclamante, es decir, comunico los datos de la reclamante a un tercero. En este sentido, hay que señalar que la entidad reclamada no contesto a esta Agencia, tal como consta en las notificaciones llevadas a cabo tanto a través del servicio de correos, como por el de notificaciones electrónicas el 21 de julio de 2020, y el 1 y 16 de febrero de 2021, ni tampoco hizo alegaciones al acuerdo de inicio del presente procedimiento sancionador. V De acuerdo con los preceptos indicados a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como criterios agravantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 - La nula cooperación con la AEPD a fin de poner remedio a la infracción y mitigar sus efectos (artículo 83.2
- f)del RGPD). - Se encuentran afectados identificados personales básicos (nombre, apellidos, domicilio), según el artículo 83.2 g del RGPD. Es por lo que se considera procedente graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 4.000 € por la infracción del artículo 6 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AVALOS CONSULTORES, S.L., con NIF B98832637, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD, una multa de 4.000 euros (cuatro mil euros). SEGUNDO: NOTIFICAR la presente resolución a AVALOS CONSULTORES, S.L., con NIF B98832637. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es