← España

PS-00122-2022

1/21  Expediente N.º: EXP202101997 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 24 de julio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ***EMPRESA.1 con NIF ***NIF.1 (en adelante, la parte reclamada o ***EMPRESA.1), que, además de vulnerar su derecho a la protección de datos, atentan contra su dignidad, menoscaban su fama, atentan contra su honor, causándole un perjuicio económico. Los motivos en que basa la reclamación son los siguientes: . Publicación por la parte reclamada en su página de Facebook (“***URL.1”) y en su web “***URL.2” de los datos personales de la parte reclamante. Entre las publicaciones mostradas en Facebook, aportadas con la reclamación, se incluye una fechada el “18 de julio” cuyo detalle consta reseñado en el Hecho Probado Segundo. La parte reclamante aporta, asimismo, captura de pantalla de otros comentarios publicados en el mismo perfil, en las fechas 26/06, 04, 05, 07 y 21/07/2021, con los textos que constan reseñados en el Hecho Probado Segundo. Por otra parte, aporta captura de pantalla con información insertada en la web “***URL.2”, detallada en el Hecho Probado Tercero. Según la parte reclamante, estos tratamientos de datos suponen un uso no legítimo, no adecuado, desproporcional e injustificado de los datos personales. Entiende que se incumple lo establecido en los artículos 5.1.

  1. f)y 32 del RGPD, debiendo ser sancionada la parte reclamada conforme a lo establecido en el artículo 83.5.
  2. a)del mismo Reglamento. . El tratamiento de datos reseñado en el punto anterior es ilícito, por cuanto se lleva a cabo sin el consentimiento de la parte reclamante, y sin que concurra ninguna otra de las bases legítimas previstas en el artículo 6 del RGPD, lo que es constitutivo de una infracción tipificada en el artículo 72.1.
  3. b)de la LOPDGDD, que debe ser sancionada conforme a lo establecido en el artículo 83.5.
  4. a)del RGPD. . La sociedad reclamada y su responsable incumplen lo dispuesto en el artículo 28 de la LOPDGDD al no haber adoptado las medidas necesarias para evitar los daños que la publicación realizada en Facebook pudiera ocasionar a la parte reclamante, especialmente los perjuicios económicos que está provocando en la explotación del “***EMPRESA.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 . Los datos personales de la parte reclamante tratados por la parte reclamada pueden ser accedidos a través de buscadores de internet con el nombre y apellido de la parte reclamante y la palabra “(…)” como criterio de la búsqueda. Aporta dos supuestos resultados de esta búsqueda, que conducen a información contenida en Facebook, en los que constan el nombre y apellidos de la parte reclamante; y a imágenes asociadas también a estos datos: “…”. . El sitio web “***URL.2” incumple la obligación de informar a los usuarios, así como la obligación de disponer de medios para que los usuarios y clientes ejerzan los derechos reconocidos en los artículos 15 a 22 del RGPD, vulnerando los artículos 11.2 y 12.2 de la LOPDGDD, que constituye una infracción muy grave tipificada en el artículo 72.
  5. h)de la misma Ley Orgánica. . El sitio web “***URL.2” incumple en los artículos 10 y 22.2 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI). Concretamente, en relación con la instalación de cookies, la parte reclamante destaca que “1. No existe un texto de aviso general, explicando que al navegar por la web estás aceptando el uso de cookies; 2. No existe botón alguno para aceptar esta ley de cookies y que hará desaparecer el layer de información. 3. No existe un enlace con más información sobre las cookies utilizadas por tu web, explicando que son y como poder bloquearlas o eliminarlas dependiendo del navegador utilizado”. Termina la parte reclamante solicitando una indemnización por los daños y perjuicios que le está ocasionando el tratamiento ilícito de sus datos personales. Considera la parte reclamante que las infracciones señaladas deben imputarse a la entidad ***EMPRESA.1 y a la persona que gestiona el perfil de Facebook “***URL.1” y responsable de la web “***URL.2”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 01/10/2021, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 informativo se envió en la misma fecha del 01/10/2021 una copia nuevamente mediante notificación electrónica, que tampoco fue recogida por la parte reclamada, y también por correo postal, que fue devuelto con la indicación sobrante. En dichas notificaciones, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban sobre los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. TERCERO: Por la Subdirección General de Inspección de Datos se accede a la información relativa a la sociedad reclamada disponible en el Registro Mercantil Central, (…). CUARTO: Con fecha 10/06/2022, por la Subdirección General de Inspección de Datos se accede a la web “***URL.2” y se comprueba que incluye direcciones de correo electrónico de contacto para información y reservas. En materia de protección de datos personales ofrece la información que consta reseñada en el Hecho Probado Cuarto. QUINTO: Con fecha 01/06/2022, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre la parte reclamada en “Axesor”. (…). SEXTO: Con fecha 15/06/2022, por los Servicios de Inspección de esta Agencia se realizaron comprobaciones en la web “***URL.2”, usando navegador Chrome tras realizar borrado de cookies y caché, para verificar las cookies cargadas en el navegador al acceder a la web y tras realizar una navegación dentro de la misma. Como resultado de estas comprobaciones, que constan formalizadas mediante diligencia de inspección de la misma fecha, se constata que únicamente se instala una SÉPTIMO: Con fecha 26/06/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los artículos 13 y 6 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en los artículos 83.5.
  6. b)y 83.5.
  7. a)del mismo Reglamento, y calificadas como leve y muy grave a efectos de prescripción en los artículos 74.
  8. c)y 72.1.
  9. b)de la LOPDGDD, respectivamente. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 6.000 euros. Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, según el citado artículo 58.2
  10. d)del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que solicita el archivo del procedimiento y que se tenga en cuenta la Sentencia (…). En dicho escrito, la parte reclamada formula las consideraciones siguientes: 1. En fecha ***FECHA.2, la parte reclamante, habiendo cumplido el contrato que tenía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 con la parte reclamada, decidió no entregar las llaves y quedarse ocupando el negocio (…). 2. (…); y, debido a la posición de la parte reclamante, en junio de 2021 presentó una demanda (…). 3. Los concesionarios (la parte reclamada) son los responsables únicos de este negocio, de su identidad, de su imagen, de sus clientes, proveedores (…) y, como tal, no puede permitir que se suplante la identidad y se engañe con falsos testimonios y sobre todo que se utilicen los datos (...) para hacer negocio a nombre de terceros. 4. Debido a esta situación, los concesionarios (la parte reclamada) se vieron obligados a avisar por todos los medios posibles a sus clientes, proveedores y todas las personas que pudieran requerir los servicios (...), a través de su web y de Facebook, para comunicar el fraude, el robo, la violencia, la coacción que la parte reclamante estaba provocando (...) y a todas las personas que buscaban los servicios (...). La parte reclamante ha tenido múltiples denuncias de los (...) por estos hechos. 5. El ***FECHA.1, se dictó sentencia contra la parte reclamante, desestimando toda posible defensa y contra demanda presentada por la misma, en la que se incluye la reclamación presentada ante la AEPD. 6. Los hechos objeto de este expediente han sido resueltos por el ***JUZGADO.1 a favor de la parte reclamada, desestimando cualquier atentado contra la intimidad, imagen y honor. La demanda se interpuso ante un hecho extraordinario precisamente para la protección de usuarios y consumidores (...) y el juzgado ha dado la razón a la parte reclamada en todas las pretensiones. 7. La parte reclamada realizó los comunicados necesarios y posibles en defensa de su honor, su negocio y el futuro de éste. En este momento todos los comunicados que relacionan dicho negocio con la parte reclamante están anulados, porque la misma parte reclamada es la más perjudicada con esa información. Con este escrito de alegaciones, la parte reclamada aporta, entre otra, la documentación siguiente: . Sentencia de fecha ***FECHA.1, dictada por el ***JUZGADO.1 en el Juicio Ordinario promovido por la parte reclamada, como demandante, contra la parte reclamante, que como demandada, por la que se declara resuelto el contrato de arrendamiento sobre el negocio (...) suscrito por la parte reclamada, como arrendadora, y la parte reclamante, como arrendataria, y se condena a esta última a desalojar el inmueble con apercibimiento de lanzamiento si no lo hiciere. En esta Sentencia se indica lo siguiente: “El demandado formula reconvención basándose en incumplimientos de la arrendadora sobre el preaviso… y pretende una indemnización por daños contra su honor y propia imagen que no pueden ser objeto de reclamación en esta litis, pues precisan de un procedimiento especial con intervención del Ministerio Fiscal”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 NOVENO: Con fecha 06/09/2022 se formuló propuesta de resolución en el sentido siguiente: 1. Que se sancione a la parte reclamada, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  11. b)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 74.
  12. c)de la LOPDGDD, con una multa de 2.000 euros (dos mil euros). 2. Que se sancione a la parte reclamada, por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5.
  13. a)del RGPD, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  14. b)de la LOPDGDD, con una multa de 4.000 euros (cuatro mil euros). DÉCIMO: La propuesta de resolución reseñada en el Antecedente Noveno fue notificada a la parte reclamada en fecha 07/09/2022, concediéndosele plazo para formular alegaciones, que fue ampliado a petición de la propia entidad reclamada. Una vez rebasado dicho plazo, con fecha 03/10/2022, se recibió en esta Agencia escrito de alegaciones a la propuesta de resolución en el que la parte reclamada solicita que se sustituya la sanción propuesta por un apercibimiento o, subsidiariamente, se minore de forma sustancial el importe de la multa. Basa su petición en las consideraciones siguientes: 1. La actuación de la parte reclamante constituye un claro abuso de derecho e instrumentaliza a la autoridad de control, persiguiendo una venganza personal y comprometer económica y reputacionalmente a la parte reclamada, hasta el punto de haber intentado suplantar a la entidad y creado una página web falsa (***URL.3), la cual carece de Política de Privacidad, Aviso Legal y una adecuada Política de cookies; así como un perfil de Facebook y de Instagram también falsos. Ello provocó que la parte reclamada intentara proteger el negocio y a los clientes de ser estafados. También fue necesario un juicio para expulsarle del lugar y que dejase de explotar económica e ilegalmente el negocio. Entiende que el procedimiento constituye un claro abuso de derecho que crearía un peligroso precedente. 2. Considera aplicables las atenuantes siguientes, previstas en el artículo 83 del RGPD y no contempladas en la propuesta de resolución: . Artículo 83.2.
  15. c)del RGPD: La intención de la parte reclamada ha sido por intentar minimizar el daño que se provocaría en el tratamiento de datos personales de los clientes, teniendo en cuenta que la parte reclamante ha creado hasta una web falsa (sin política de privacidad alguna, ni texto legal adecuado) para tratar los datos personales de aquéllos de manera completamente ilegal. . Artículo 83.2.
  16. e)del RGPD: Es la primera infracción que se imputa a la parte reclamada después de 25 años operando. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 . Artículo 83.2.
  17. f)del RGPD: ha atendido el procedimiento y se pone a disposición de la autoridad de control para cooperar en lo relacionado con este proceso, así como el posible abierto contra la parte reclamante por su suplantación de identidad, así como el tratamiento de datos personales que ha pretendido y pretende realizar a través de su web de los datos de nuestros clientes. Igualmente, ha procedido, en fecha 21/09/2022, a contratar a una consultora especializada en materia de cumplimiento normativo, que se ocupará de la adecuación de la página web, por lo que se añadirá el Aviso Legal y, en su caso, la Política de cookies (ya se ha procedido a modificar la cláusula de la página web, de la que acompaña copia). . Artículo 83.2.
  18. k)del RGPD: La parte reclamada ha salido altamente perjudicada económica y reputacionalmente. . Artículo 76.2.
  19. c)de la LOPDGDD: No solo no ha obtenido ningún tipo de beneficio en la comisión de las infracciones imputadas, sino que este suceso ha provocado pérdidas económicas a la entidad (abogados, pérdida de clientes, pérdida de ingresos, pérdida reputacional, contratación de servicios especializados en la materia, tiempo, etc.). . Artículo 76.2.
  20. d)de la LOPDGDD: La conducta del afectado claramente provocó la necesidad de la parte reclamada de advertir sobre la suplantación de identidad del negocio, así como el tratamiento ilícito de los datos personales de los clientes. . Artículo 76.2.
  21. f)de la LOPDGDD: No ha habido ningún derecho de menores afectado por ninguna de las dos infracciones. 3. En relación con las agravantes relativas a la infracción del artículo 13 RGPD valoradas en la propuesta de resolución, la parte reclamada advierte que tiene pocos clientes o potenciales clientes, como para apreciar la agravante del número de interesados; y que no cabe apreciar negligencia y el grado de responsabilidad, al haber contratado una consultora para la adecuación de sus tratamientos y la actualización de la cláusula informativa en su web, ya dispuesta. 4. Reitera que el suceso solo ha provocado pérdidas a la entidad y entiende por ello que, de no apreciarse el abuso de derecho, procedería aplicar una sanción menos elevada, la cual, atendiendo a su situación económica actual, sería perjudicial y desproporcionada. Con sus alegaciones, entre otra documentación, la parte reclamada aporta copia de la cláusula informativa en materia de protección de datos personales insertada en su web, cuyo texto es el siguiente: “…. ”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 HECHOS PROBADOS PRIMERO: ***EMPRESA.1 es titular de la página de Facebook “***URL.1” y de la web “***URL.2”. SEGUNDO: En el año 2021, en las fechas que se indican, la entidad ***EMPRESA.1 publicó en su perfil de Facebook (“***URL.1”) la información, documentación o comentarios siguientes, todos ellos relativos a la parte reclamante: “(…)”. En esta última publicación se inserta una imagen de la web “***URL.1”. (…)”. En otro comentario se inserta una imagen con el texto siguiente: “(…)” TERCERO: La entidad ***EMPRESA.1 publicó en su web (“***URL.2”) el comentario siguiente, relativo a la parte reclamante: “…”. CUARTO: Con fecha 10/06/2022, por la Subdirección General de Inspección de Datos se accede a la web “***URL.2” y se comprueba que incluye direcciones de correo electrónico de contacto para información y reservas. En materia de protección de datos personales ofrece a los interesados la información siguiente: “…”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 II El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. La parte reclamada es titular de la web “***URL.2”, en la que se incluyen direcciones de correo electrónico para que los usuarios puedan solicitar información sobre (…). La utilización de este medio de contacto puede conllevar la recogida de datos personales de los usuarios que se dirijan a la parte reclamada, lo que constituye un tratamiento de datos respecto del cual el responsable del tratamiento, en este caso la entidad ***EMPRESA.1, ha de dar cumplimiento al principio de transparencia, establecido en el artículo 5.1 del RGPD, según el cual los datos personales serán “tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia)”; y desarrollado en el Capítulo III, Sección 1ª, del mismo Reglamento (artículos 12 y siguientes). El artículo 12.1 del RGPD establece la obligación del responsable del tratamiento de tomar las medidas oportunas para “facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida a un niño”. Cuando los datos personales se recaben directamente del interesado, la información deberá facilitarse en el momento mismo en que tiene lugar esa recogida de datos. El artículo 13 del RGPD detalla esa información en los términos siguientes: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  22. a)la (…) y, en su caso, de su representante;
  23. b)los datos de contacto del delegado de protección de datos, en su caso;
  24. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  25. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  26. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  27. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21
  28. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  29. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  30. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  31. d)el derecho a presentar una reclamación ante una autoridad de control;
  32. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  33. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. De acuerdo con estas normas, el deber de informar corresponde al responsable del tratamiento de los datos personales. En este caso, según consta reseñado en el Hecho Probado Cuarto, se ha comprobado que la información en materia de protección de datos personales que se ofrece a los usuarios de la web “***URL.2”, en el momento de la apertura del procedimiento, hacía referencia únicamente a la identidad del responsable y a la posibilidad de ejercer algunos de los derechos de los interesados regulados en el RGPD y se cita la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y no la normativa vigente. A este respecto, cabe destacar que la entidad reclamada, en sus alegaciones a la apertura del procedimiento, no efectuó alegación alguna respecto de esta infracción, a pesar de que ya constaba imputada en el citado acuerdo. Posteriormente, con ocasión de las alegaciones a la propuesta de resolución, la parte reclamada ha aportado copia de la cláusula de protección de datos personales que ha incluido recientemente en su web, cuyo texto consta transcrito en el Antecedente Décimo. Con esta cláusula se informa a los usuarios sobre los extremos regulados en el mencionado artículo 13 del RGPD en relación con la identidad y datos de contacto del responsable, la finalidad y base jurídica del tratamiento, la categoría de destinatarios de los datos personales, la inexistencia de transferencias internaciones, el plazo de conservación, los derechos reconocidos a los interesados y los medios previstos para su ejercicio, la posibilidad de revocar el consentimiento, el derecho a presentar una reclamación ante esta autoridad de control y la inexistencia de decisiones automatizadas (esta declaración no supone pronunciamiento alguno sobre la conformidad del contenido específico de esta cláusula, especialmente en relación con el plazo de conservación de los datos reseñado en la misma; se recomienda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 revisar este plazo y la base jurídica del tratamiento o la habilitación de mecanismos para la prestación del consentimiento). Esta nueva cláusula informativa subsana las deficiencias advertidas en la cláusula insertada en la web en el momento en que se formuló la reclamación y a la fecha de apertura del procedimiento, la cual consta reseñada en el Hecho Probado Cuarto. Por ello, esta subsanación no impide que la infracción imputada se entienda consumada. Resulta, por tanto, incumplido lo establecido en el artículo 13 del RGPD, lo que supone la comisión de una infracción tipificada en el artículo 83.5.
  34. b)del RGPD. Este precepto, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  35. b)los derechos de los interesados a tenor de los artículos 12 a 22;(…)”. A efectos del plazo de prescripción, el artículo 74 de la LOPDGDD indica: “Artículo 74. Infracciones consideradas leves. Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  36. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679”. III El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  37. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  38. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  39. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  40. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  41. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  42. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  43. f)del párrafo primero no será de aplicación al tratamiento realizado por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  44. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  45. c)y e), deberá ser establecida por:
  46. a)el Derecho de la Unión, o
  47. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  48. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  49. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  50. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  51. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  52. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. Se tiene en cuenta lo expresado en el Considerando 40 y siguientes del RGPD. En el presente caso, la entidad reclamada es titular del perfil de Facebook “***URL.1” y de la web “***URL.2”. Consta en las actuaciones que la parte reclamada insertó comentarios en la citada red social y en la web de su titularidad relativos a la parte reclamante, incorporando a los mismos sus datos personales, tales como el nombre y apellidos, teléfono empleado como mecanismo de cobro y cuenta bancaria, además de otra información sobre la actividad que desarrolla la parte reclamante y sobre un (…) en el que ésta interviene como parte demandada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 La incorporación de los datos personales de la parte reclamante en estos comentarios, que constan detallados en los Hechos Probados Segundo y Tercero, los cuales son accesibles al público en general, constituye un tratamiento de datos personales. No consta, sin embargo, que los citados tratamientos de datos personales se llevasen a cabo por la parte reclamada al amparo de una base jurídica que los legitime, no eran necesarios para el cumplimiento de la relación comercial que vinculaba a ambas partes (arrendamiento de negocio (...)) y la finalidad para la que se realizan los tratamiento de datos indicados no es una finalidad compatible con las que pudieron determinar la recogida de tales datos personales por parte de la reclamada. En sus alegaciones a la apertura del procedimiento, la parte reclamada manifiesta que la parte reclamante incumplió el contrato de arrendamiento de negocio que les vinculaba, (…), por cuanto con posterioridad a la finalización del contrato en fecha ***FECHA.2 continuó ocupando el negocio y las instalaciones. Señala que, con ese motivo, la parte reclamada se vio obligada a advertir sobre la indicada situación a clientes y proveedores (...), realizando los comunicados necesarios en defensa de su negocio. Sin embargo, la resolución del contrato fue controvertida, como lo prueba el hecho de que la parte reclamada formuló demanda con tal objeto. Por tanto, en el momento en que se realizan los tratamientos de datos personales de la parte reclamante, insertando la información antes detallada en la página web de la parte reclamada y en su perfil de Facebook, la finalización del contrato no estaba resuelta. En todo caso, dicha situación no legitimaba a la parte reclamada para utilizar los datos en cuestión, insertándolos en comentarios accesibles a través de internet sin restricción alguna, cuyo contenido, además, iba más allá de un mero aviso a clientes y proveedores. Lo mismo puede indicarse en relación con las alegaciones formuladas a la propuesta de resolución por la entidad reclamada cuando señala que intentó proteger el negocio y a los clientes para que no fueran estafados. También en su escrito de alegaciones a la apertura del procedimiento, la parte reclamada añadió que en (…) contra la parte reclamante, y que dicha demanda ha sido estimada por el ***JUZGADO.1 en Sentencia de ***FECHA.1, en la que se declara resuelto el contrato de arrendamiento (...)suscrito por la parte reclamada, como arrendadora, y la parte reclamante, como arrendataria, (…). La parte reclamada manifiesta que esta Sentencia desestima cualquier atentado contra la intimidad, imagen y honor de la parte reclamante, y desestima la reclamación interpuesta ante esta Agencia. Sin embargo, atendiendo a las declaraciones contenidas en la propia Sentencia, no es cierta la conclusión expresada por la parte reclamada. La Sentencia no se pronuncia sobre esta cuestión relativa a la violación del derecho a la intimidad de la parte reclamante, señalando expresamente que no es objeto de la litis y que su resolución precisa de un procedimiento especial. Finalmente, en respuesta a las alegaciones a la propuesta de resolución formuladas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 por la parte reclamada sobre la intención de la parte reclamante al formular su reclamación, que pretende, según la reclamada, comprometerla económica y reputacionalmente, instrumentalizando a la autoridad de control, interesa precisar que las motivaciones subjetivas que determinaron la presentación de la reclamación no tienen relevancia para el procedimiento. Tampoco cabe admitir que con ocasión del trámite de alegaciones a la propuesta de resolución se planteen cuestiones ajenas al objeto del procedimiento, como las relativas al intento de la parte reclamante de suplantar a la parte reclamada creando una página web falsa, la cual, según la reclamada, carece de política de privacidad y política de cookies. La presente resolución no alcanza a las posibles incidencias que puedan apreciarse en la web creada por la parte reclamante, las cuales deberían plantearse por la parte reclamada, si así lo decide, mediante una reclamación independiente que posibilite su examen separado. En consecuencia, los citados hechos suponen una vulneración de lo dispuesto en el artículo 6 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. Dicha vulneración se encuentra tipificada como infracción en el apartado 5.
  53. a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  54. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  55. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”. IV Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  56. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...)
  57. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
  58. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
  59. d)anterior es compatible con la sanción consistente en multa administrativa. V En este caso, a tenor de los hechos expuestos, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83, apartado 2, del RGPD, que señala lo siguiente: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  60. a)a
  61. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  62. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  63. b)la intencionalidad o negligencia en la infracción;
  64. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  65. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  66. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  67. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  68. g)las categorías de los datos de carácter personal afectados por la infracción;
  69. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  70. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  71. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  72. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  73. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  74. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  75. a)El carácter continuado de la infracción.
  76. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  77. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  78. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  79. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  80. f)La afectación a los derechos de los menores.
  81. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  82. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establecen los preceptos transcritos: 1. Infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  83. b)y calificada como leve a efectos de prescripción en el artículo 74.
  84. c)de la LOPDGDD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  85. a)del RGPD: “
  86. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . El número de interesados: Los defectos apreciados en el cumplimiento del deber de informar a los interesados en materia de protección de datos personales afecta a todas las personas que aporten sus datos personales a la parte reclamada a través de los contactos habilitados en su web. La parte reclamada niega que esta circunstancia deba valorarse como una agravante, debido al escaso número de clientes o potenciales clientes que tiene. Sin embargo, esta circunstancia ya se tiene en cuanta al graduar la sanción atendiendo a los factores atenuantes que se exponen a continuación. Lo determinante de esta agravante es que el defecto de información apreciado afecta a todos los interesados que contacten con la entidad reclamada a través de su web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 . Artículo 83.2.
  87. b)del RGPD: “
  88. b)la intencionalidad o negligencia en la infracción". La negligencia apreciada en la comisión de la infracción. Se tiene en cuenta que ni siquiera se ha actualizado en la web la normativa aplicable en esta materia, manteniéndose la cita de la Ley Orgánica 15/1999. . Artículo 83.2.
  89. d)del RGPD: “
  90. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. La entidad imputada no tiene implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, en lo que se refiere a la recogida y tratamiento de datos personales a través de su web, de modo que la infracción no es consecuencia de una anomalía en el funcionamiento de dichos procedimientos sino un defecto del sistema de gestión de los datos personales diseñado por la responsable. Tampoco a este respecto cabe estimar las alegaciones de la parte reclamada, según las cuales estas agravantes de negligencia y grado de responsabilidad no deben apreciarse debido a que recientemente ha contratado una consultora para la adecuación de sus tratamientos y la actualización de la cláusula informativa, que ya se ha llevado a cabo. Esta actualización, que se ha producido una vez iniciado el procedimiento, y cualquier adecuación a la normativa que realice en el futuro en nada afecta a la negligencia apreciada en los hechos que se analizan en el procedimiento y a la falta de adecuación de los procedimientos que tenía implantados. Además, no puede entenderse como atenuante, en ningún caso, la cesación de la conducta vulneradora del ordenamiento jurídico. Se considera, asimismo, que concurren como atenuantes las circunstancias siguientes: . Artículo 76.2.
  91. b)de la LOPDGDD: “
  92. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La escasa vinculación de la actividad del infractor con la realización de tratamientos de datos personales. . Artículo 83.2.
  93. k)del RGPD: “
  94. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. . La condición de microempresa y volumen de negocio de la parte reclamada. (…). Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 13 del RGPD, es de 2.000 euros (dos mil euros). 2. Infracción por incumplimiento de lo establecido en el artículo 6 del RGPD, tipificada en el artículo 83.5.
  95. a)y calificada como muy grave a efectos de prescripción en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 artículo 72.1.
  96. b)de la LOPDGDD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  97. a)del RGPD: “
  98. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . La gravedad de la infracción, teniendo en cuenta la naturaleza de los comentarios publicados. . Artículo 83.2.
  99. b)del RGPD: “
  100. b)la intencionalidad o negligencia en la infracción". La intencionalidad apreciada en la comisión de la infracción, considerando que la parte reclamada tuvo la voluntad de dar a conocer los datos personales de la parte reclamante. Se considera, asimismo, que concurren como atenuantes, además de las circunstancias señaladas en la infracción anterior, la siguiente: . Artículo 83.2.
  101. k)del RGPD: “
  102. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. . La infracción afecta únicamente a la parte reclamante. Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 6 del RGPD, es de 4.000 euros (cuatro mil euros). Es preciso destacar que la parte reclamada, en su escrito de respuesta a la apertura del procedimiento, no realizó ninguna alegación frente a los factores y criterios de graduación expuestos. Posteriormente, en sus alegaciones a la propuesta de resolución, además de lo indicado en relación con los factores de graduación considerados para establecer la multa procedente por la infracción de lo dispuesto en el artículo 13, la parte reclamada considera que deben considerarse las circunstancias atenuantes siguientes:
  103. a)Se trata de la primera infracción que se imputa a la parte reclamada. Entiende esta Agencia que ninguno de los factores de graduación considerados queda atenuado por el hecho de que la entidad reclamada no haya sido objeto de un procedimiento sancionador con anterioridad, circunstancia esta que ha sido alegada por la entidad reclamada para que sea considerada como una atenuante. A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
  104. e)toda infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21 anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa administrativa y su cuantía de debe tener en cuenta “toda infracción anterior cometida por el responsable”. Es una previsión normativa que no incluye la inexistencia de infracciones precedentes como factor de graduación de la multa, el cual debe entenderse como un criterio próximo a la reincidencia, aunque más amplio.
  105. b)El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción, considerando que ha atendido el procedimiento, se pone a disposición de la autoridad de control para cooperar en lo relacionado con el mismo y ha procedido, en fecha 21/09/2022, a contratar a una consultora especializada en materia de cumplimiento normativo, que se ocupará de la adecuación de la página web. Como ya se ha indicado, no cabe apreciar como atenuante la cesación e la conducta vulneradora del ordenamiento jurídico.
  106. c)La reclamada no ha obtenido beneficios que deriven de las infracciones imputadas. El artículo 76.2 de la LOPDGDD, en su letra c), incluye entre los criterios que deben sopesarse a la hora de fijar la cuantía de la sanción “los beneficios obtenidos como consecuencia de la comisión de la infracción” y no la ausencia de estos beneficios. A este respecto, la Sentencia de la Audiencia Nacional de 05/05/2021 se refiere a la necesidad de que concurra el “presupuesto” de hecho contemplado en la norma para que pueda aplicarse un determinado criterio de graduación, y, como se ha dicho, la ausencia de beneficios no está entre las circunstancias reguladas en el artículo citado. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
  107. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
  108. k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo establecido en su artículo 83.2, se imponen en función de las circunstancias de cada caso individual y, en el presente, no se estima que la ausencia de beneficios sea un factor de graduación adecuado y determinante para valorar la gravedad de la conducta infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora podrá considerarse como una atenuante, en aplicación del artículo 83.2.
  109. k)del RGPD, que se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso”.
  110. d)Invoca el artículo 76.2.
  111. f)de la LOPDGDD, que se refiere a la afectación a los derechos de los menores, esta circunstancia aparece regulada como un factor que agrava la antijuridicidad cuando concurre.
  112. e)En relación con la infracción por tratamiento de datos personales sin base jurídica, entiende que han de tomarse en consideración para fijar la cuantía de la multa las medidas tomadas para minimizar el daño que se provocaría en el tratamiento de datos personales de los clientes, teniendo en cuenta que el reclamante ha creado hasta una web falsa para tratar los datos personales de aquéllos de manera ilegal. No obstante, debe señalarse que lo dispuesto en el artículo 83.2.
  113. c)del RGPD es aplicable cuando las medidas intentan minimizar el daño causado por la infracción cometida no el causado por unas supuestas infracciones cometidas por terceros.
  114. f)En base a lo dispuesto en el artículo 83.2.
  115. k)del RGPD, alega que la parte reclamada ha salido altamente perjudicada económica y reputacionalmente. Sin embargo, esta circunstancia, de haberse producido, no deriva de la infracción sancionada. Además, considerando que los factores de graduación han de estar ligados a las infracciones sancionadas, la estimación de esta alegación equivaldría a atenuar la responsabilidad de la parte reclamada por los perjuicios que le ha podido causar su propia conducta.
  116. d)Considera la parte reclamada que la conducta del afectado (la parte reclamante) provocó la necesidad de esta parte de advertir sobre la suplantación de identidad del negocio, así como del tratamiento ilícito de los datos personales de los clientes. A este respecto, basta con reiterar lo ya indicado en el Fundamento de Derecho III cuando se advertía que la situación descrita por la parte reclamada no legitimaba el tratamiento de datos de la parte reclamante insertándolos en comentarios accesibles a través de internet que iban más allá de un mero aviso a clientes y proveedores. VI Confirmada la infracción, es preciso determinar si procede o no imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  117. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 En este caso, la parte reclamada ha comunicado en sus alegaciones a la apertura del procedimiento haber suprimido de su web y página de Facebook los datos personales de la parte reclamante, y durante la tramitación del procedimiento ha aportado la nueva cláusula informativa insertada en su web a disposición de los usuarios, por lo que no procede imponer la adopción de medidas adicionales a la sanción de multa. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ***EMPRESA.1, con NIF ***NIF.1, por una infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5.
  118. b)del mismo Reglamento, y calificada como leve a efectos de prescripción en el artículo 74.
  119. c)de la LOPDGDD, una multa de 2.000 euros (dos mil euros). SEGUNDO: IMPONER a ***EMPRESA.1, con NIF ***NIF.1, por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5.
  120. a)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  121. b)de la LOPDGDD, una multa de 4.000 euros (cuatro mil euros). TERCERO: NOTIFICAR la presente resolución a ***EMPRESA.1 CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  122. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  123. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.