1/12 Expediente Nº: EXP202105364 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 2 de junio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202105364 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 13 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada o BBVA). Los motivos en que basa la reclamación son los siguientes: Desde 2014 lleva solicitando a BBVA, de todas las formas posibles, que no envíen por correo postal a su domicilio ningún informe de inversión en bolsa “(Acción IBEX35 ETF FI Cotizado y BBVA Bolsa Tecnología y Telecomunicaciones FI)”, recibiendo “acuse de recibo y contestación del cese del citado informe”, si bien continúan enviándolo (7 años), vulnerando su “derecho de oposición y cancelación de datos”. Con la reclamación, aporta copia de los siguientes documentos: 1. Solicitud de ejercicio de derecho de cancelación, de fecha 24/11/2014, dirigida por la parte reclamante al Departamento de Calidad de BBVA, y el justificante de su entrega al destinatario en fecha 01/12/2014. En esta solicitud se indica lo siguiente: “La cancelación de cualquier informe periódico en papel del fondo del que soy partícipe: . BBVA Bolsa Tecnología y Telecomunicaciones, FI. . Acción Ibex35 ETF FI”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 2. Comunicación de BBVA (Servicio de Atención al Cliente -SAC), de fecha 18/12/2014, de respuesta al derecho de cancelación ejercitado, por la que se da cuenta del acuerdo siguiente: “En cumplimiento de sus instrucciones le confirmamos que hemos procedido de conformidad con la Ley Orgánica 15/99 de 13 de diciembre de Protección de Datos de Carácter Personal, con el fin de impedir el posterior proceso o utilización de sus datos y, asimismo se han adoptado las medidas necesarias para evitar el envío de publicidad”. 3. Escrito de fecha 12/07/2019, remitido por la parte reclamante a BBVA (SAC), en el que manifiesta: “Me dirijo a ustedes en relación al informe anual BBVA Bolsa Tecnología y Telecomunicaciones, FI del que soy partícipe, que el 24 de noviembre de 2014, solicité a ese servicio la renuncia a recibir este informe en formato papel y por correo ordinario, mediante petición oficial derecho de cancelación según LOPD, adjunto copia… y facilitando correo electrónico para el envío del informe, adjunto copia… El 18 de diciembre de 2014, recibo contestación… con compromiso por escrito de la citada petición, adjunto copia… Continúan ustedes año tras año enviando el citado informe, adjunto copia del año 2018 y recibido este mes de julio…”. 4. Comunicación de fecha 13/08/2019, enviada por el BBVA (SAC) a la parte reclamante indicando lo siguiente: “El objeto de su reclamación… es solicitar la cancelación de cualquier envío de correspondencia en papel sobre el fondo de inversión del cual es partícipe. Por ello solicita el envío de dichas comunicaciones a su correo electrónico. …Tras haber revisado cuidadosamente los hechos… y la documentación…, le informamos de que hemos comprobado que usted tiene activa la opción de recibir la correspondencia del fondo de inversión por correo electrónico, con una periodicidad semestral”. 5. Comunicaciones relativas al fondo “BBVA Bolsa Tecnología y Telecomunicaciones, FI”: . Informe anual correspondiente a 2018, enviado al domicilio de la parte reclamante y a su nombre. . Informe semestral del primer semestre de 2019, enviado al domicilio de la parte reclamante y a su nombre. 6. Comunicaciones relativas al fondo “Acción IBEX 35 ETF FI Cotizado Armonizado”: . Informe del primer semestre del 2019, enviado a nombre de un tercero/a al mismo domicilio de la parte reclamante. . Informes anuales de 2020 (dos envíos), enviados al domicilio de la parte reclamante, pero sin nombre del destinatario. . Informe del primer semestre del 2021, enviado a nombre de un tercero/a al mismo domicilio de la parte reclamante. . Informe del primer semestre del 2021, enviado al domicilio de la parte reclamante y a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 su nombre. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10/12/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 28/12/2021 se recibe en esta Agencia escrito de la entidad BBVA, que acusa recibo del traslado de la reclamación e informa que la petición de esta Agencia “se está gestionando”. TERCERO: Con fecha 13 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 18/02/2022, se recibió en esta Agencia el escrito de respuesta al traslado de la reclamación realizado por BBVA, en el que se indica lo siguiente: BBVA está obligado a remitir a la parte reclamada la información correspondiente al fondo “BBVA Bolsa Tecnología y Telecomunicaciones, FI”, como titular de este fondo, de acuerdo con la Circular 4/2008, de 11 de septiembre, de la Comisión Nacional del Mercado de Valores, sobre el contenido de los informes trimestrales, semestral y anual de instituciones de inversión colectiva y del estado de posición, cuyo artículo 4.1 dispone lo siguiente: “1. Las sociedades gestoras de instituciones de inversión colectiva o las sociedades de inversión, en su caso, o las entidades comercializadoras, deberán remitir de forma gratuita al partícipe o socio… a la dirección que haya indicado, los sucesivos informes simplificados semestral y primera parte del informe anual y, en caso de haberlo solicitado, los informes simplificados trimestrales. La segunda parte del informe anual se remitirá al partícipe o socio dentro de los cinco primeros meses de cada ejercicio”. En agosto de 2019, la parte reclamante dejó de recibir por correo postal la información financiera correspondiente al fondo citado. A este respecto, aclara que la comunicación que la parte reclamante dirigió al SAC, el 12/07/2019, se refería exclusivamente a los informes anuales del fondo "BBVA Bolsa Tecnología y Telecomunicaciones, FI", y no a los informes correspondientes al fondo “Acción IBEX 35 ETF FI Cotizado Armonizado”. La información que BBVA traslada a la parte reclamante se lleva a cabo por los canales que en cada momento la tecnología permita y el banco tenga habilitados. A la fecha actual, BBVA no tiene la posibilidad tecnológica para el envío de los informes anuales y semestrales correspondientes a ETFs, como el producto “Acción IBEX 35 ETF FI Cotizado Armonizado”, de forma digital. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Conforme a la solicitud de fecha 12/07/2019, con posterioridad a la misma el envío de los informes semestrales y anuales a la parte reclamante no se ha llevado a cabo vía correo postal, en relación con el fondo relacionado en la referida solicitud (“BBVA Bolsa Tecnología y Telecomunicaciones, FI”). Por otra parte, advierte BBVA que no ha existido un tratamiento de datos personales con fines de mercadotecnia directa; el tratamiento de datos efectuado por BBVA ha tenido lugar en el marco de la relación contractual y en cumplimiento del citado art. 4.1 de la Circular 4/2008. Los informes semestrales y anuales se suministran solo a fines informativos y no constituyen ni pueden interpretarse como una oferta, invitación o incitación para la venta, compra o suscripción de participaciones. Con su respuesta, BBVA aporta copia de la comunicación remitida a la parte reclamante con ocasión del trámite de traslado de la reclamación. En esta comunicación, BBVA comunica lo siguiente: “Manifiesta su disconformidad con el envío de comunicaciones vía postal por esta Entidad, tras haber ejercido su derecho de supresión, y después de oposición a dichos envíos. Se adjunta el escrito como anexo I. Este Servicio, tras las comprobaciones oportunas, ha verificado que se adoptaron las medidas correspondientes para no enviarle comunicaciones comerciales y que surtieron efecto. Lo que usted recibía era correspondencia (no comercial) del producto contratado. En relación al derecho de supresión, le informamos que actualmente sus datos se encuentran debidamente bloqueados, lo que impide el posterior proceso o utilización de los mismos. No obstante, su tratamiento resulta imprescindible para dar respuesta a su denuncia ante la Agencia Española de Protección de Datos hasta la resolución de la misma. Por otro lado, le informamos que, respecto al envío de correspondencia no comercial, tal y como se le indica en el expediente con nº de referencia 8452333, relativas al producto que tenía usted contratado, esta entidad le trasladó a través del Servicio de Atención al Cliente que Ud. tenía activada la opción de recibir la información semestralmente en su dirección de email. No obstante, en la actualidad ya no tiene contratos ni servicios contratados con BBVA”. QUINTO: Con fecha 01/06/2022, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre la entidad BBVA en “Axesor”. (…) FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. De acuerdo con dichas definiciones, el envío de las comunicaciones postales objeto de la reclamación constituye un tratamiento de datos personales, respecto del cual el responsable del tratamiento ha de dar cumplimiento al principio de licitud establecido en el artículo 5.1 del RGPD, según el cual los datos personales serán “tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia)”. El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, existen indicios sobre el tratamiento de los datos personales de la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 reclamante sin ninguna base jurídica que lo legitime, considerando que ésta solicitó a la parte reclamada que la información relativa a los fondos de inversión que tenía contratados le fuera remitida por correo electrónico y no por vía postal. Esta solicitud de no utilización del domicilio postal fue aceptada por la entidad BBVA en fecha 18/12/2014 en relación con los productos “BBVA Bolsa Tecnología y Telecomunicaciones, FI” y “Acción IBEX 35 ETF FI Cotizado Armonizado”. Posteriormente, la parte reclamante reiteró su petición en fecha 12/07/2019 en relación con el primer fondo de inversión citado. Estas solicitudes de la parte reclamante conllevan la imposibilidad de cualquier tratamiento posterior de dichos datos por parte de BBVA con la finalidad indicada. Sin embargo, esta entidad no atendió debidamente dicha obligación. La parte reclamante ha aportado, junto con su reclamación, copia de los informes recibidos con posterioridad a su solicitud, en concreto, el informe anual y del primer semestre de 2019 correspondientes al fondo de inversión “BBVA Bolsa Tecnología y Telecomunicaciones, FI”; y el informe del primer semestre de 2021 del fondo “Acción IBEX 35 ETF FI Cotizado Armonizado”. En estos informes constan los datos personales de la parte reclamante relativos a nombre, apellidos y domicilio postal. La parte reclamante adjunto, asimismo, el informe anual de 2020 del fondo “Acción IBEX 35 ETF FI Cotizado Armonizado”, remitidos a su domicilio, pero sin nombre del destinatario. BBVA, en su respuesta al trámite de traslado de la reclamación, ha manifestado que con posterioridad a la solicitud de 12/07/2018, relativa al fondo “BBVA Bolsa Tecnología y Telecomunicaciones, FI”, no se remitió información de este producto por correo postal; pero no tiene en cuenta que la misma petición había sido formulada por la parte reclamante y aceptada por la citada entidad en 2014, la cual, además, se refería a los dos productos de inversión reseñados, y no solo al fondo “BBVA Bolsa Tecnología y Telecomunicaciones, FI”. En cuanto al envío de la información del fondo de inversión “Acción IBEX 35 ETF FI Cotizado Armonizado”, señala la parte reclamante que no tiene en la actualidad “la posibilidad tecnológica” para su envío de forma digital, que la información que traslada se lleva a cabo por los canales que en cada momento permita la tecnología y el banco tenga habilitados, pero sin explicar las razones de este impedimento. Por otra parte, también explica la parte reclamada que esto informes periódicos deben remitirse obligatoriamente a los titulares de este tipo de productos de conformidad con lo establecido en la Circular 4/2008, de 11 de septiembre, de la Comisión Nacional del Mercado de Valores, sobre el contenido de los informes trimestrales, semestral y anual de instituciones de inversión colectiva y del estado de posición. Sin embargo, esta Circular prevé que la remisión de los informes al partícipe pueda realizarse por vía telemática, con el conforme del inversor, y añade que éste indicará la dirección electrónica que desee para esta remisión de la información. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración de lo establecido en el artículo 6 del RGPD, tipificada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 apartado 5.
- a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”. IV Procede graduar la sanción a imponer de acuerdo con los criterios que establecen los artículos 83.2 del RGPD y 76 de la LOPDGDD. De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, en el presente caso se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios: En una valoración inicial, se estiman concurrente como agravante el criterio de graduación siguiente: . Artículo 83.2.
- a)del RGPD: “
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . La duración de la infracción, considerando que la infracción se ha cometido en ejercicios distintos . Artículo 83.2.
- b)del RGPD: “
- b)la intencionalidad o negligencia en la infracción". La negligencia apreciada en la comisión de la infracción, considerando que la parte reclamada no tuvo que la voluntad manifestada por la parte reclamante para no recibir los envíos postales a los que se refiere la reclamación. Esta voluntad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 era conocida por la parte reclamada, que además aceptó la petición. Estas circunstancias ponen de manifiesto la actuación negligente de la parte reclamada. A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se trata de una entidad que realiza tratamientos de datos personales de manera sistemática y continua en el ámbito laboral y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. Entiende esta Agencia que la diligencia tiene que deducirse de hechos concluyentes, que consten debidamente acreditados y directamente relacionados con los elementos que configuran la infracción, de tal modo que pueda deducirse que la misma se ha producido a pesar de todos los medios dispuestos por el responsable para evitarla. En este caso, la actuación de la parte reclamada no tiene este carácter. . Artículo 76.2.
- b)de la LOPDGDD: “
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Se considera el nivel de implantación de la entidad y la actividad que desarrolla, en la que se ven implicados datos personales de millones de interesados. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de la responsabilidad de la entidad reclamada en relación con el tratamiento de los datos. . Artículo 83.2.
- k)del RGPD: “
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. . La condición de gran empresa y volumen de negocio de BBVA. (…) Se considera, asimismo, que concurre como atenuante la circunstancia siguiente: . Artículo 83.2.
- a)del RGPD: “
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. La infracción es una anomalía que afecta únicamente a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 Considerando los factores expuestos, la valoración inicial que alcanza la multa, por la infracción del artículo 6 del RGPD, es de 70.000 euros (setenta mil euros). V De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
- a)del mismo texto legal. SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretario, a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 70.000 euros (setenta mil euros), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 euros (cincuenta y seis mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000 euros (cincuenta y seis mil euros) y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 42.000 euros (cuarenta y dos mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (56.000 euros o 42.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de LPACAP, se advierte que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica por comparecencia en la sede electrónica del Punto de Acceso General de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 la Administración o a través de la Dirección Electrónica Habilitada única y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de junio de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 42000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202105364, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-240122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es