PS-00147-2019

1/10 Procedimiento Nº: PS/00147/2019 RESOLUCIÓN R/00321/2019 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00147/2019, instruido por la Agencia Española de Protección de Datos a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 14 de junio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00147/2019 935-160419 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en consideración a los siguientes HECHOS PRIMERO: D.ª A.A.A. (en adelante, la reclamante) presenta reclamación frente al BANCO BILBAO VIZCAYA ARGENTARIA, S.A., -BBVA-, con NIF A48265169, (en adelante, la reclamada) que tiene entrada en la Agencia Española de Protección de Datos (AEPD) el 08/01/2019. La reclamación se funda en el tratamiento que la reclamada ha hecho de los datos personales de la reclamante, cliente de la entidad, sin su consentimiento. El tratamiento contrario al derecho a la protección de datos de carácter personal que es objeto de la reclamación consistió en que la reclamada, en su condición de parte en el contrato de cuenta corriente celebrado con la reclamante, realizó operaciones que ésta no había ordenado pese a que únicamente la titular de la cuenta -esto es, la reclamante- podía autorizarlas. La entidad reclamada domicilió en la cuenta bancaria de la reclamante, de la que era ella la única titular, sin su consentimiento ni conocimiento, los pagos efectuados mediante una tarjeta WIZINK que estaba vinculada a otra cuenta corriente (finalizada en los dígitos YY). Esta cuenta, abierta también en la entidad de crédito reclamada, era de titularidad conjunta de la reclamante y de su entonces cónyuge, D. B.B.B. (en lo sucesivo, el tercero), del que estaba separada y en trámites de divorcio, pues a través de ella atendían los gastos de los dos hijos comunes, menores de edad. La actuación de la reclamada -tratar los datos bancarios de la reclamante sin su consentimiento para vincular a su cuenta una tarjeta que no estaba asociada a ella-, dio lugar a que se cargaran en la cuenta de la que la reclamante era titular exclusiva, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 con fecha 30/06/2017, un importe de 735,15 euros, y con fecha 31/07/2017, un importe de 398,79 euros. Por estos hechos la reclamante presentó el 25/08/2017, ante el Servicio de Atención al Cliente (SAC) de la reclamada, una reclamación en la que solicitaba que se investigara lo sucedido pues la explicación recibida no era satisfactoria y le instaba a revisar la actuación de una empleada de la entidad: la gestora del banco asignada al tercero. En el escrito de reclamación presentado en esta Agencia se menciona también otra conducta presuntamente contraria a la normativa de protección de datos que parece aconsejable reseñar aun cuando no es objeto del presente expediente sancionador sino de otro distinto -pues la responsable es otra entidad del mismo grupo empresarial-. La reclamante tenía contratado un seguro Plan Individual de Ahorro Sistemático (PIAS) con BBVASEGUROS, S.A., del que ella era la tomadora. En fecha 23/06/2017, sin su consentimiento ni conocimiento, la entidad aseguradora procedió a cancelarlo. La documentación que aporta refleja como el importe del PIAS se pasó a la cuenta común y tres días más tarde el tercero ordenó una transferencia por su total importe a una cuenta bancaria de su progenitor. Se anexan a la reclamación los documentos siguientes: -Copia del DNI -Reclamación formulada por la reclamante ante el SAC BBVA -con sello de entrada el 25/08/2017- relativa a la domiciliación en su cuenta de una tarjeta bancaria de WIZINK y el cargo de sendos importes de 735,15 euros y 398,79 euros - Reclamación formulada ante el SAC de BBVA -con sello de presentación el 19/10/2017- relativa a la cancelación del Seguro PÍAS. En uno de los documentos afirma aportar a BBVA con tal reclamación la copia de la orden de ejecución de operaciones PÍAS BBVA y el justificante bancario de transferencia a favor del beneficiario (el padre de su excónyuge). -Denuncia presentada el 26/10/2017 en la Comisaría de Policía de Granada (Atestado 12980/17) por los mismos hechos y en la que identifica como presunto responsable de ellos a su excónyuge. -La carta que el SAC de la reclamada dirige a la reclamante, con fecha 15/12/2017, respondiendo a su reclamación con referencia 3997954.Le comunica que respecto a su solicitud para que se informe si D. [el tercero] “ha podido acceder a datos de su cuenta le trasladamos que la información no pública que BBVA dispone sobre sus clientes y sus operaciones tiene carácter confidencial. BBVA ha adoptado normas y procedimientos para garantizar la seguridad de acceso a sus sistemas informáticos y a los archivos físicos en los que se almacena documentación contractual y transaccional de sus clientes, así como para dar cumplimiento a las exigencias legales en materia de protección de datos de carácter personal”. SEGUNDO: A la vista de los hechos expuestos, la AEPD, en el ámbito del expediente número E/01754/2019, mediante escrito de fecha 14/02/2019, dio traslado de la reclamación a la reclamada y le solicitó una explicación sobre su actuación. También en esa fecha la AEPD remitió escrito a la reclamante acusando recibo de su reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 El 15/03/2019 la reclamada responde a la AEPD -expediente E/01754/2019- y hace estas declaraciones: - - - Que la “incidencia” que origina la petición informativa de la Agencia es la alegación de la reclamante de que la entidad reclamada facilitó a su excónyuge “datos de cuentas bancarias de las que ellas es la única titular”. Además, alega que “se realizaron operaciones bancarias y se canceló un seguro PÍAS, del que es titular, sin su consentimiento”. Añade que ha investigado lo ocurrido concluyendo que “BBVA actuó con la diligencia debida” sin que exista ningún indicio o prueba que haga dudar de que esto no fue así y que se facilitó información de la reclamante a terceras personas. Respecto al seguro PÍAS la denunciada afirma que “fue cancelado por un error humano, carente de toda mala fe”. Remite a la AEPD copia de estos documentos: - Una carta con fecha 13/10/2017, dirigida a la reclamante, vinculada a la referencia 3774403. En ella se hace constar que “El objeto de su reclamación, (…) es solicitar la devolución de dos cargos de una tarjeta no autorizados por su parte (735,15 euros,30-06-17 y de 398,79 euros 31-7-17) adeudados por tanto de forma indebida en su cuenta -de la que es única titular (XXXX-XXXXXXXXXXXXXXXX) y que corresponden a otra persona (su expareja) (…) Dada la incidencia puntual acontecida, hemos procedido a atender su solicitud de manera favorable, por lo que en los próximos días tendrá abonado en su cuenta indicada anteriormente los importes de 735,15 euros y 398,79 euros, objeto de su reclamación…” 2. Una carta de fecha 01/03/2018, con el anagrama de BBVA y dirigida a la reclamante a través de la cual la reclamada responde a la reclamación formulada por su cliente, con referencia 3997954, y le informa de que “Una vez realizados los trámites necesarios le informamos que se ha procedido a reactivar el Plan Individual de Ahorro Sistemático con nº …….RRR puesto que no estaba usted de acuerdo con su cancelación”. 3. Una carta de fecha 27/02/2019 que la reclamada envía a la reclamante acusando recibo de la reclamación presentada en la AEPD. En ella, afirma haber actuado con la diligencia debida en el cumplimiento de las obligaciones que le impone el respeto al derecho fundamental a la protección de datos personales y añade que “respecto a la cancelación del PÍAS y los cargos de la tarjeta, fueron retrocedidos, tal como le indicábamos en nuestra anterior comunicación de fecha 10 de octubre de 2017 y posteriormente el Plan Individual de Ahorro Sistemático se reactivó al constatar que su cancelación fue debida a un error humano, carente de toda mala fe por parte del Banco…” De conformidad con lo dispuesto en el artículo 65.2 de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), en fecha 21/03/2019 se firma el acuerdo de admisión a trámite de la presente reclamación. Posteriormente, en fecha 24/05/2019, tiene entrada en el Registro de la AEPD un escrito de la reclamante con el que aporta los documentos y en el que hace las declaraciones siguientes: - Aporta un documento (

1. i)con el anagrama de BBVA que refleja todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 - - movimientos de la cuenta finalizada en los dígitos YY, cuyos titulares son, conjuntamente la reclamante y su expareja (el tercero), cuenta que está destinada a los gastos comunes. La reclamante comenta en relación con ese documento que puede comprobarse que no hay registros de la tarjeta WIZINK BANK en los meses de junio y julio de 2017 porque el tercero traspasó la domiciliación de la tarjeta a su cuenta personal. Añade que, tras la reclamación formulada ante el SAC, el 25/08/2017 la reclamada “vuelve a domiciliar los cargos de tarjeta Wizink en la cuenta común”. Aporta una copia -documento (ii)- de su “propia tarjeta Citibank Bank Cepsa” (tarjeta Wizink). En la tarjeta aparece como titular la reclamante y consta como periodo de vigencia “desde 12 hasta final 06/18”. La reclamante comenta que la tarjeta se contrató por el tercero “años atrás” y “solicitó una copia de tarjeta para mí y ambos usábamos por tanto una tarjeta con cargo a la cuenta común para gastos comunes” Aporta un documento (iii) con el anagrama de BBVA que refleja los movimientos de la cuenta finalizada en los dígitos XX, cuya única titular es la reclamante, entre el 15/06/2017 y el 08/08/2017. Se comprueba que existe una operación de fecha 30/06/2017, por el concepto “Adeudo a su cargo (…) WIZINK BANK” por un importe de -735,15 euros y otra operación de fecha 31/07/2017, por el concepto “Adeudo a su cargo (…) WIZINK BANK” por un importe de 398,79 euros. La reclamante hace en relación a ese documento las siguientes consideraciones: que la cuenta la abrió en la localidad de ***LOCALIDAD.1 donde residía cuando decidieron el tercero y ella separar los gastos comunes de los propios y que, a raíz de cambiar de destino a otra localidad la cuenta cambió de numeración siendo el número actual el finalizado en SS. TERCERO: Las conductas presuntamente infractoras que son objeto de la presente reclamación quedan sometidos a las disposiciones de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal. Se toma en consideración para ello, por una parte, que el Reglamento (UE) 2016/679, General de Protección de Datos (RGPD) es de aplicación efectiva desde el 25/05/2018 y, por otra, que los cargos en la cuenta bancaria de la denunciante fruto de vincular a tal cuenta, sin su autorización, los pagos hechos con la tarjeta WIZINK, son de junio y julio de 2017. FUNDAMENTOS DE DERECHO I En virtud lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos expuestos podrían suponer la comisión por la reclamada de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), precepto que dispone: Artículo 6.1: “El tratamiento de los datos de carácter personal requerirá el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El precepto ha de integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
2. c)y 3,
3. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El artículo 44.3.
4. b)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Las infracciones graves pueden ser sancionadas con multa de 40.001 euros a 300.000 euros, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. III La documentación que obra en el expediente, sin perjuicio del resultado de la tramitación del procedimiento sancionador, evidencia que la reclamada trató un dato personal de la reclamante -su número de cuenta bancaria, finalizada en los dígitos 46cuenta de la que ella era titular exclusiva, sin su consentimiento ni conocimiento. La conducta infractora se concreta en haber tratado su número de cuenta particular para vincular a ella los cargos de la tarjeta Wizink Bank que estaba asociada a otra cuenta abierta también en la entidad de crédito reclamada. La obligación que el artículo 6 de la LOPD impone al responsable del tratamiento lleva implícita la carga de probar que el tratamiento de los datos personales de un tercero se efectuó con el consentimiento de su titular o, al menos, que se adoptaron todas las medidas que exige el cumplimiento diligente de esa obligación. Respecto a la carga de la prueba del consentimiento, la doctrina emanada de la Audiencia Nacional ha sido uniforme, pudiendo citar en ese sentido la SAN de 31/05/2006 (Recurso 539/2004) que indica (F.D. Cuarto):“Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. En el asunto que nos ocupa, la reclamante ha acreditado documentalmente que, en relación con su cuenta corriente, se ordenaron operaciones que sólo podían efectuarse si ella, como única titular, las había autorizado. La reclamada, sin embargo, se ha limitado a afirmar que obró con la diligencia debida pero no ha explicado cuál fue el origen de los hechos expuestos en la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 IV En la determinación del importe de la sanción a imponer por la infracción del artículo 6.1 de la LOPD, y sin perjuicio de lo que resulte de la instrucción del procedimiento, procede aplicar la disposición del artículo 45.5 LOPD, apartado b, que alude a que “la entidad infractora haya regularizado la situación de forma diligente”. El efecto jurídico que deriva de la aplicación del artículo 45.5 LOPD es la imposición de la sanción en la cuantía prevista para las infracciones que preceden en gravedad a la presuntamente cometida. Siendo la infracción prevista en el artículo 44.3.
5. b)LOPD, de la que se responsabiliza a la reclamada, una infracción grave, la sanción pecuniaria a imponer habrá de estar comprendida dentro de los límites que el artículo 45.1 LOPD fija para las infracciones leves: entre 900 y 40.000 euros. De los criterios que el artículo 45.4 LOPD ofrece para graduar la cuantía de la sanción estimamos que, en el presente caso, concurren como agravantes, al reflejar una mayor antijuridicidad y culpabilidad de la actuación de la reclamada, los siguientes: - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial de la reclamada, por su propia naturaleza, exige un continuo tratamiento de datos personales. - “El volumen de negocio o actividad del infractor”, (apartado d,). La reclamada tiene la condición de “gran empresa”, hecho notorio que no precisa prueba. - “El grado de intencionalidad” (apartado, f). Expresión que debe entenderse como equivalente a culpabilidad en sentido amplio; comprensiva tanto del dolo como de la negligencia, sea grave o leve. En el presente caso, atendidas las circunstancias que concurren, se estima que la reclamada ha actuado con una gravísima falta de diligencia. No cuestionamos si la reclamada tiene un protocolo de actuación para verificar que las ordenes que ejecuta en relación con los servicios que presta a sus clientes son necesariamente consecuencia del consentimiento otorgado por ellos. Lo cierto es que la información disponible evidencia que, o bien el protocolo del que la reclamada dispone es inconsistente, o bien, de existir dicho protocolo, la reclamada lo aplica con una “extrema laxitud”. La explicación que la reclamada ha ofrecido a esta Agencia -que obró con la diligencia debida- carece de soporte probatorio que la corrobore. Por otra parte, la reclamada reconoció en una carta remitida a la reclamante el 10/10/2017 que en relación a los hechos expuestos existió una “incidencia puntual”. Sin embargo, es difícilmente admisible que estemos ante una incidencia puntual si tomamos en consideración que la reclamante fue víctima -dentro de un periodo de tiempo muy breve- de dos conductas similares, presuntamente infractoras, en las que intervinieron los mismos empleados de la reclamada. Si bien en la conducta que es objeto de este expediente sancionador la reclamada interviene como responsable del tratamiento, existió otra conducta semejante en la que intervino como encargada de tratamiento de BBVA SEGUROS, S.A., en su condición de operador banca seguros con arreglo a lo dispuesto en la Ley 26/2006, de Mediación de Seguros y Reaseguros, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 por tanto con otra personalidad jurídica –“BBVA Mediación, Operador de BancaSeguros Vinculados, S.A.”, CIF A 78581998-. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169, por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), tipificada como infracción grave en el artículo 44.3.
6. b)2. NOMBRAR como instructor a G.G.G. y, como secretario, a F.F.F., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). 3. INCORPORAR al expediente sancionador, a efectos de prueba, la reclamación interpuesta por el reclamante y su documentación y los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, así como el informe de actuaciones previas de Inspección. 4. QUE a los efectos previstos en el art. 64.2
7. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 38.000 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente acuerdo a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
8. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 30.400 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 30.400 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 22.800 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (30.400 euros o 22.800 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 29 de junio de 2019, el reclamado ha procedido al pago de la sanción en la cuantía de 22800 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
9. d)e
10. i)y 38.4 d),
11. g)y
12. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 PRIMERO: DECLARAR la terminación del procedimiento PS/00147/2019, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es