← España

PS-00145-2022

1/13  Expediente Nº: EXP202200419 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PUNTO BADAL-BCN S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 12 de julio de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202200419 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante la reclamante) con fecha 29/11/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra PUNTO BADAL-BCN S.L. con NIF B67014597 (en adelante el reclamado). Los motivos en que basa la reclamación son los siguientes: la recepción de un correo electrónico de fecha 29/11/2021 enviado a decenas de destinatarios, entre ellos la reclamante, sin usar la funcionalidad CCO. Manifiesta que se puso en contacto con el reclamado para pedir información sobre un inmueble, pero no solicitó la recepción de publicidad. Aporta copia del correo recibido: "La casa agency"; se trata de un mensaje navideño, presentándose al vecindario y ofreciendo servicios de asesoramiento inmobiliario. El único dato revelado es la dirección de email. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 17/01/2022, se da traslado de la reclamación a EL FRANQUICIADOR INMOBILIARIO de conformidad con la LPACAP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 El 07/02/2022 respondía que dispone de un protocolo para responder a los ejercicios de derechos que recibe; que desconoce el medio por el cual la reclamante ejerce su derecho de acceso, de supresión y de reclamación puesto que no ha existido comunicación previa con la entidad, no siendo la responsable de sus datos ya que no mantenía relación comercial previa con ella; que por el motivo descrito, no es posible que la entidad pueda informar sobre la reclamación ni responder al ejercicio de derechos; que el reclamado dispone de su propio protocolo para el ejercicio de los derechos de los interesados, pudiéndose dirigir estos a su dirección postal o al correo 08028a@lacasa.net; que adicionalmente, desde el año 2018 nuestra entidad cuenta con los servicios de consultoría en Protección de Datos por parte de una empresa especializada. Aporta Protocolo para la Tramitación de Derechos en materia de Protección de Daos. Asimismo, el 08/02/2022 se da traslado de dicha reclamación al reclamado de conformidad con la LPACAP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta respuesta alguna. TERCERO: Con fecha 28/02/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 29/04/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas infracciones de los artículos 5.1.

  1. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
  2. a)y artículo 83.4.
  3. a)del citado RGPD. QUINTO: Notificado el acuerdo de inicio, el reclamado mediante escrito de 26/05/2022 presento escrito de alegaciones manifestando en síntesis lo siguiente: que es cierto que un trabajador inexperto y que se acababa de incorporar al equipo envió por error y sin mala fe un correo electrónico sin la opción de copia oculta con una simple felicitación navideña; que para imponer una multa se debe atender a las circunstancias de carácter individual; que en el correo se ofrecían servicios de agencia inmobiliaria no habiendo datos destacables SEXTO: Con fecha 02/06/2022 se inició un período de práctica de pruebas, acordándose las siguientes Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1. El 29/11/2021 tiene entrada en la AEPD escrito del reclamante manifestando haber recibido en la misma fecha un correo electrónico enviado a numerosos destinatarios, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 entre ellos la reclamante, sin usar la función de copia oculta. Asimismo, indica que se puso en contacto con el reclamado para pedir información sobre un inmueble, pero que no solicitó la recepción de publicidad. 2. Consta aportada copia del correo recibido por la reclamante sin copia oculta en el que figuran decenas de direcciones de correo electrónico; mensaje navideño de "La casa agency" presentándose al vecindario y ofreciendo servicios de asesoramiento inmobiliario. 3. El reclamado en escrito de 26/05/2022 manifiesta “Que es cierto que un trabajador inexperto y que se acababa de incorporar a nuestro equipo envió por error y sin mala fe. un correo electrónico sin la opción de copia oculta con una simple FELICITACION DE NAVIDAD”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  4. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” En primer lugar, el artículo 5 del RGPD establece los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y confidencialidad”. El citado artículo señala que: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 (…)
  5. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)”. (…) III 1. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado, vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al remitir correo electrónico sin utilizar la opción de copia oculta vulnerando la confidencialidad en el tratamiento de los datos de carácter personal. De este modo, la reclamante tuvo acceso a las direcciones de correo electrónico del resto de destinatarios. Este deber de confidencialidad, debe entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por los titulares de los mismos y es una obligación que incumbe no sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier fase del tratamiento y complementaria del deber de secreto profesional. El propio reclamado en escrito de alegaciones al acuerdo de inicio de 26/05/2022 presento escrito de alegaciones ha reconocido los hechos señalando “Que es cierto que un trabajador inexperto y que se acababa de incorporar a nuestro equipo envió por error y sin mala fe. un correo electrónico sin la opción de copia oculta con una simple FELICITACION DE NAVIDAD”. Por tanto, a la vista de lo que antecede se considera que el reclamado ha vulnerado el RGPD por infracción de lo señalado en el artículo 5.1.
  6. f)del mismo. 2. El reclamado también ha señalado en su escrito de 26/05/2022 que no ha habido mala fe ni intencionalidad en el envío del correo electrónico; en relación con esta cuestión hay que señalar que la Audiencia Nacional en sus sentencias, entre otras la de 24/05/02 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. 3. Por tanto, se estima que el reclamado sería responsable de la infracción del artículo 5.1.
  7. f)del RGPD, infracción tipificada en su artículo 83.5.
  8. a)del citado reglamento. IV El artículo 83.5
  9. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado arC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 tículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V En segundo lugar, hay que señalar que la seguridad de los datos personales viene regulada en el artículo 32 del RGPD. El artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  11. a)la seudonimización y el cifrado de datos personales;
  12. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  13. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  14. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. VI La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo 83.4.
  15. a)del citado RGPD en los siguientes términos: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  16. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43. (…)” Por su parte, la LOPDGDD en su artículo 73, a efectos de prescripción, califica de “Infracciones consideradas graves”: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  17. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. (…)”. VII El RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. La documentación obrante en el expediente evidencia que el reclamado ha vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad motivado por la remisión de un correo electrónico a un número elevado de destinatarios sin la función de copia oculta, vulnerando las medidas técnicas y organizativas establecidas. Hay que señalar que el RGPD en el citado precepto no establece un listado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 las medidas de seguridad que sean de aplicación de acuerdo con los datos que son objeto de tratamiento, sino que establece que el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, señalando que la determinación de las medidas técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. En este mismo sentido el considerando 83 del RGPD señala que: “

(83)A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales”. La responsabilidad del reclamado viene determinada por el incidente de seguridad puesto de manifiesto por el reclamante, ya que es responsable de tomar decisiones destinadas a implementar de manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para asegurar la confidencialidad de los datos, restaurando su disponibilidad e impedir el acceso a los mismos en caso de incidente físico o técnico. Sin embargo, de la documentación aportada se desprende que la entidad no solo ha incumplido esta obligación, sino que además se desconoce la adopción de medidas al respecto, a pesar de haberle dado traslado de la reclamación presentada. De conformidad con lo que antecede, se estima que el reclamado sería responsable de la infracción del artículo 32.1 del RGPD, infracción tipificada en su artículo 83.4.a). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 VIII A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  1. a)a
  2. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  3. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  4. b)la intencionalidad o negligencia en la infracción;
  5. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  6. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  7. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  8. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  9. g)las categorías de los datos de carácter personal afectados por la infracción;
  10. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  11. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  12. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  13. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  14. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  15. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  16. a)El carácter continuado de la infracción.
  17. b)La vinculación de la actividad del infractor con la realización de tratamientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 de datos personales.
  18. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  20. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  21. f)La afectación a los derechos de los menores.
  22. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  23. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por la infracción tipificada en el artículo 83.5.
  24. a)y artículo 5.1.
  25. f)del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: Son circunstancias agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (artículo 76.2.
  26. b)de la LOPDGDD en relación con el artículo 83.2.k). - Aunque no se puede sostener que el reclamado haya actuado intencionadamente, se observa una grave falta de diligencia en su actuación. Conectado con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  27. b)del RGPD). Con arreglo a los anteriores factores se estima adecuado proponer por vulneración del artículo 5.1.
  28. f)del RGPD una sanción de 3.000 euros. - En segundo lugar, a efectos de fijar el importe de la sanción por la infracción tipificada en el artículo 83.4.
  29. a)y artículo 32.1 del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores. - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (artículo 76.2.
  30. b)de la LOPDGDD en relación con el artículo 83.2.k). - Aunque no se puede sostener que el reclamado haya actuado intencionadamente, se observa una grave falta de diligencia en su actuación. Conectado con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  31. b)del RGPD). Con arreglo a los anteriores factores se estima adecuado proponer por vulneración del artículo 32.1 del RGPD una sanción de 2.000 euros. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a PUNTO BADAL-BCN S.L., con NIF B67014597, por infracción del artículo 5.1.
  32. f)del RGPD, tipificada en el artículo 85.3.
  33. a)del RGPD, una sanción de 3.000 € (tres mil euros). SEGÚNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a PUNTO BADAL-BCN S.L., con NIF B67014597, por infracción del artículo 32.1 del RGPD, tipificada en el artículo 83.4.
  34. a)del RGPD, una sanción de 2.000 € (dos mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción total quedaría establecida en 4.000 € (cuatro mil euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. B.B.B. INSPECTOR/INSTRUCTOR ANEXO Índice del expediente EXP202200419 29/11/2021 Reclamación de A.A.A. 17/01/2022 Traslado reclamación a FRANQUICIADOR INMOBILIARIO LA CASA GRUP, S.L. 07/02/2022 Contestación requerimiento de FRANQUICIADOR INMOBILIARIO LA CASA GRUP SL 08/02/2022 Traslado reclamación 2 a PUNTO BADAL-BCN S.L. 28/02/2022 Comunicación a A.A.A. 03/05/2022 A. apertura a PUNTO BADAL-BCN S.L. 22/05/2022 Info. Reclamante a A.A.A. 26/05/2022 Alegaciones de PUNTO BADAL-BCN S.L. 02/06/2022 Notif. p. pruebas a PUNTO BADAL-BCN S.L. >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 SEGUNDO: En fecha 26 de julio de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 4000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202200419, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a PUNTO BADAL-BCN S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  35. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-230522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.