← España

PS-00138-2022

1/13  Expediente Nº: EXP202101826 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de agosto de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EUROPYMES SERVICIOS INTEGRALES S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00138/2022 IMI Reference: A56ID 322069- A60IC 394915- A60DD 411333- Case Register 357086 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base los siguientes: HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación, con fecha 23 de marzo de 2021, ante la autoridad de protección de datos de Irlanda (Data Protection Commission). La reclamación se dirige contra EUROPYMES SERVICIOS INTEGRALES, S.L. (en adelante, EUROPYMES) con NIF B83247627. Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta haber solicitado la baja de su cuenta y la supresión de sus datos personales del servicio “NOBUNA”, perteneciente a EUROPYMES, solicitud que fue reiterada mediante varios correos electrónicos, ya que EUROPYMES no atendía su petición. Una vez que la cuenta fue finalmente dada de baja, la parte reclamante ha vuelto a recibir un correo de aviso de actualización del producto adquirido a EUROPYMES. Documentación relevante aportada por la parte reclamante: - Copia de una serie de correos de los días 19 y 20 de agosto de 2020 entre los correos electrónicos ***EMAIL.1 (en adelante, email de la parte reclamante) y ***EMAIL.2 (en adelante, email de NOBUNA) que sirve para que la parte reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 solicite el borrado de sus datos e identifique el email de la parte reclamante como la cuenta que hay que borrar. - Copia de correo, fechado el 21 de agosto de 2020, enviado desde el email de NOBUNA en el que se indica que ya se borrado la cuenta de la parte reclamante. - Copia de correo, fechado el 24 de agosto de 2020, enviado desde el email de NOBUNA en el que se contesta a la parte reclamante (que indicaba previamente que seguía pudiendo acceder a su cuenta) que su cuenta sigue activa durante 30 días y, si en esos días no accede, se eliminará; pero, si accede a la cuenta, se cancelará esa solicitud de eliminación de la cuenta. - Copia de una serie de correos entre el email de NOBUNA y el de la parte reclamante fechados el día 13 de noviembre de 2020. En ella, la parte reclamante indica que, aunque ha solicitado el borrado de su cuenta en agosto, sigue recibiendo notificaciones de NOBUNA y sigue pudiendo entrar en su cuenta de NOBUNA; y la parte reclamante solicita que se borre su cuenta y todos los datos que tenga NOBUNA sobre su persona. - Copia de un intercambio de correos, fechado entre los días 20 y 23 de noviembre de 2020, en el que, desde el email de la parte reclamante, se confirma que la parte reclamante ya no puede acceder a su cuenta de NOBUNA. - Copia de correo enviado desde el email de la parte reclamante al email de NOBUNA, fechado el 21 de febrero de 2021, en el que indica que ha recibido una comunicación comercial de NOBUNA sobre un plugin. - Copia de correo de respuesta a la parte reclamante, enviado desde el email de NOBUNA el 23 de febrero de 2021. En este correo, se piden disculpas a la parte reclamante y se indica que han realizado comprobaciones y esperan que esto no vuelva a suceder. Tras este correo, la parte reclamante envía otro correo solicitando confirmación del borrado de sus datos, que recibe una confirmación desde el email de NOBUNA. - Copia de correo enviado desde el email de la parte reclamante el 23 de marzo de 2021 en el que indica que ha recibido otro correo de actualización de NOBUNA. También se envía la contestación a este correo desde el email de NOBUNA indicando que ignore esta comunicación y que ya se han borrado sus datos. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 7 de septiembre de 2021 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día 8 de septiembre de 2021. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que EUROPYMES tiene su sede social y establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, la autoridad de protección de datos de Irlanda actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra

  1. c)del RGPD, al ser la autoridad de control frente a la que se ha presentado la reclamación, sin que otras autoridades de control se hayan declarado interesadas en el presente procedimiento. TERCERO: Con fecha 2 de noviembre de 2021, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En contestación a un requerimiento de información formulado por esta Agencia, el 1 de febrero de 2022, EUROPYMES aporta, entre otra, la siguiente información: 1. Indicación de que los datos de los usuarios de NOBUNA son tratados sobre la base de legitimación del artículo 6.1.
  2. b)del RGPD. De este modo, el servicio que ofrece NOBUNA es la distribución web de temas y “plugins” de WordPress y WooCommerce que funciona bajo modalidad de suscripción periódica, y los correos electrónicos enviados a la parte reclamante son parte de este servicio. 2. Indicación de que NOBUNA no envía a sus usuarios comunicaciones comerciales de ningún tipo, estando cualquier comunicación con el usuario estrictamente limitada a los siguientes casos tasados: - Comunicaciones relacionadas con el registro o uso de su cuenta NOBUNA (véase recuperación de contraseña o alerta de inicio de sesión). - Comunicaciones relacionadas con la gestión de su suscripción y facturación del servicio. - Comunicaciones relacionadas con la gestión de métodos de pago. - Comunicaciones relacionadas con la renovación de la suscripción del usuario. - Comunicaciones relacionadas con las actualizaciones de las plantillas wordpress adquiridas. 3. Indicación de que los correos electrónicos enviados a la parte reclamante no son comunicaciones comerciales, si no que forman parte del servicio ofrecido por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 NOBUNA, y que se trató el dato del correo electrónico de la parte reclamante con los mismos fines para los que fue recogido: “indicarle con razón de los productos adquiridos que las plantillas adquiridas existían actualizaciones necesarias del producto.”. Y se aporta una captura de pantalla con una de las comunicaciones dirigidas a la parte reclamante con el título “NOBUNA – A product you bought has been updated” (traducción no oficial: “Nobuna – Un producto que ha comprado se ha actualizado”), cuyo contenido es el siguiente: Hi A.A.A., There is a new update for your product. Beaver Themer WordPress Plugin 1.3.3 https://www.nobuna.com/product/beaver-themer-wordpress-plugin/ Log in to download it from your account now: https://www.nobuna.com/my-account/ Any question or inconvenience, do not hesitate to contact us. Best regards. If you need to know more about our Plugins and themes, licenses and activation codes please read our FAQ. We provide support during Mon-Fri and the average response time is 1 to 2 days. Sometimes it can take more time if we get more support tickets, continuous holidays, etc. Nobuna – Premium WordPress Downloads (traducción no oficial: “Hola A.A.A., Hay una nueva actualización para tu producto Beaver Beaver Themer WordPress Plugin 1.3.3 https://www.nobuna.com/product/beaver-themer-wordpress-plugin/ Inicia sesion para descargarlo desde tu cuenta ahora: https://www.nobuna.com/my-account/ Si tienes cualquier duda o inconveniente, no dudes en contactar con nosotros. Un saludo. Si necesitas saber más acerca de nuestros Plugins y temas, licencias y códigos de activación, por favor, lee nuestras Preguntas Frecuentes. Damos soporte de Lunes a Viernes y los tiempos de respuesta suelen estar entre 1 y 2 días. A veces, la respuesta se puede demorar si recibimos más incidencias, vacaciones largas, etc. Nobuna – Descargas WordPress Premium”) 4. Copia de la Política de Privacidad y de los Términos y Condiciones de Uso que se indica que fueron aceptados por la parte reclamante en el momento de registrarse y darse de alta en los servicios de NOBUNA. En la Política de Privacidad se indica lo siguiente respecto a los tipos de datos recogidos: Reason for Collection: The data collected enables us to create your account and give you a unique and secure way of logging into your account Use of Data Collected: We will use this data to: - enable you to login securely to your account - send you emails relating to your account and the Nobuna.com service including by way of example, onboarding emails, product updates, and Notes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 - This data is not shared with any third parties. - If you do not wish to receive these emails please contact us. - Nobuna.com account passwords are encrypted using Bcrypt; we do not store raw passwords. - This data is processed and stored within France. (Traducción no oficial: “Motivo de la recogida: Los datos recogidos nos permiten crear tu cuenta y ofrecerte una forma única y segura de acceder a tu cuenta Utilización de los datos recogidos: Utilizaremos estos datos para: - permitirte entrar en tu cuenta de forma segura - enviarte emails sobre tu cuenta y el servicio de Nobuna.com, incluyendo, por ejemplo, emails de bienvenida, actualizaciones de productos, y Notas: - Estos datos no se comparten con terceros. - Si quiere dejar de recibir estos emails, por favor, contacte con nosotros. - Las contraseñas de las cuentas de Nobuna.com están encriptadas con Bcrypt; no almacenamos las contraseñas en claro. - Estos datos se procesan y almacenan en Francia.”) 5. Indicación de que las comunicaciones enviadas a la parte reclamante se produjeron debido a un fallo en el sistema de supresión de cuentas de usuario que, al detectar que la cuenta de la parte reclamante tenía plantillas y “plugins” activos para los que existían actualizaciones, se enviaban automáticamente comunicaciones sobre esas actualizaciones. 6. Indicación de que el sistema para dar de baja a los usuarios dejaba la cuenta bloqueada durante 30 días naturales y, si el usuario volvía a acceder a la cuenta durante esos 30 días, la cuenta se volvía a activar; los inicios de sesión de la parte reclamante tras solicitar la baja provocaron la reactivación de su cuenta. 7. Indicación de que se ha modificado el sistema de baja para que cada usuario pueda darse de baja desde su Panel de Control de manera inmediata y definitiva sin mantener la cuenta bloqueada durante 30 días; de tal manera que el usuario ya no recibirá ninguna comunicación, incluidas las comunicaciones sobre actualizaciones. Y se aporta una captura de pantalla del Panel de Control (“Dashboard”) de un usuario en el que aparece la opción “Remove your account with ALL YOUR DATA” (traducción no oficial: “Elimine su cuenta con TODOS SUS DATOS”). 8. Traducción al idioma español de la comunicación que se tiene la intención de enviar a la parte reclamante en idioma inglés. En ella, se explican los motivos por los que seguía recibiendo correos sobre actualizaciones y se le indica que, a partir de su reclamación, se ha modificado el proceso de baja y supresión de las cuentas de usuario. EVIDENCIAS SIGNIFICATIVAS PARA LA GRADUACIÓN DE LA SANCIÓN: Duración de la posible infracción: Tenemos evidencias de tres comunicaciones (13/11/2020, 21/02/2021 y 23/03/2021) enviadas por el servicio NOBUNA tras la primera confirmación de la baja de la cuenta el 21 de agosto de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 Vinculación de la actividad de EUROPYMES con la realización de tratamientos de datos de carácter personal: Persona jurídica no habituada al tratamiento de datos personales. Volumen de negocio total anual global: Según consulta realizada en https://monitoriza.axesor.es/ el día 7 de febrero de 2022, las ventas de EUROPYMES SERVICIOS INTEGRALES SL fueron de 165.485 euros y tenía 1 empleado. Reincidencia por comisión de infracciones de la misma naturaleza que los hechos en cuestión: No consta que se hayan resuelto procedimientos por infracciones de EUROPYMES en el último año. Beneficios financieros obtenidos o pérdidas evitadas a través de los hechos en cuestión: No se aprecian. La conducta del afectado ha podido inducir los hechos en cuestión: Le indicaron a la parte reclamante que si accedía a su cuenta en los 30 días después de haber confirmado la baja se volvería a activar la cuenta, y, por sus correos, se entiende que intentó acceder a su cuenta poco después de que le confirmaran su baja. En cualquier caso, la parte reclamante cumplió posteriormente con dicho requisito y tampoco produjo la efectiva baja de la cuenta. La entidad ha regularizado la situación de forma diligente: Desde el servicio NOBUNA trataron de eliminar la cuenta de la parte reclamante, aunque con poca eficacia. QUINTO: Con fecha 25 de abril de 2022, la Directora de la AEPD firmó una propuesta de proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 3 de mayo de 2022 se transmitió a través del sistema IMI esta propuesta de proyecto de decisión como consulta informal y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para realizar comentarios SEXTO: Con fecha 15 de junio de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 21 de junio de 2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a EUROPYMES conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 17 de junio de 2022, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones Previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EUROPYMES realiza la recogida de, entre otros, los siguientes datos personales de personas físicas: nombre, apellido y correo electrónico, entre otros. Además, se trata de un tratamiento transfronterizo, dado que EUROPYMES está establecida en España, si bien presta servicio a otros países de la Unión Europea. EUROPYMES realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, EUROPYMES tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 Por su parte, el artículo 17 del RGPD regula el derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan. III Derecho de supresión El artículo 17 “Derecho de supresión” del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  3. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  4. b)…” En el presente caso, la parte reclamante se dio de alta en el servicio NOBUNA, perteneciente a EUROPYMES, el 12 de septiembre de 2019. Con fecha 18 de agosto de 2020, solicitó mediante correo electrónico al responsable del tratamiento la supresión de su cuenta, quien contestó el 21 de agosto de 2020 que la cuenta había sido eliminada. Sin embargo, ese mismo día la parte reclamante comunica que su cuenta continúa abierta. Con fecha 24 de agosto de 2020 vuelve a solicitar la baja de su cuenta en NOBUNA, quien ese mismo día contesta que se ha programado la eliminación de la cuenta de la parte reclamante si ésta no accede a su cuenta en un plazo de treinta días. El 13 de noviembre de 2020, la parte reclamante vuelve a recibir una notificación de NOBUNA con relación a su cuenta, por lo que no había sido eliminada. Con fecha 20 de noviembre de 2020 desde NOBUNA le comunican que su cuenta ha sido eliminada. Posteriormente, el 21 de febrero de 2021 y el 23 de marzo de 2021 la parte reclamante vuelve a recibir en su correo electrónico notificaciones desde el servicio NOBUNA. En esta última fecha, la parte reclamante vuelve a comunicar que sus datos no han sido eliminados, y que ha contactado con la autoridad de protección de datos, a lo que el servicio NOBUNA contesta que “ignore” la última notificación enviada a su correo electrónico ya que sus datos han sido eliminados. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a EUROPYMES, por vulneración del artículo 17 del RGPD. IV Tipificación de la infracción del artículo 17 del RGPD De confirmarse, la citada infracción del artículo 17 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  5. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  6. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 (…)”. V Sanción por la infracción del artículo 17 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 17 del RGPD, permite fijar inicialmente una sanción de 1.000€ (mil euros). VI Imposición de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, sin perjuicio de acuerdo con lo establecido en el citado artículo 58.2
  7. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Asimismo, las medidas que pudieran adoptarse en la resolución que ponga fin al procedimiento, en relación con el ejercicio de derechos de los interesados, serán de aplicación en todos los países de la Unión Europea en los que opere EUROPYMES. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a EUROPYMES SERVICIOS INTEGRALES, S.L., con NIF B83247627, por la presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretaria, a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la documentación procedente del IMI que ha dado lugar a las actuaciones previas de investigación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador y la documentación procedente del IMI sobre el proyecto de decisión. CUARTO: QUE a los efectos previstos en el art. 64.2
  8. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas la sanción que pudiera corresponder sería de 1.000 euros (mil euros), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a EUROPYMES SERVICIOS INTEGRALES, S.L., con NIF B83247627, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  9. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 Conforme dispone el artículo 85 de la LPACAP, iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 600 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (800 euros o 600 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 17 de agosto de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 800 euros haciendo uso de una de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202101826, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a EUROPYMES SERVICIOS INTEGRALES S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 937-240122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.