← España

PS-00159-2019

1/12 938-0419 Procedimiento Nº: PS/00159/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 9 de julio de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AVON COSMETICS SAU con NIF A28151298 (en lo sucesivo, Avon o la reclamada). Los motivos en que basa la reclamación son que Avon ha hecho un uso inadecuado de sus datos personales, no comprobando su identidad e incluyéndola en el fichero de solvencia patrimonial Asnef. Así las cosas, señala que se puso en contacto con la reclamada, solicitando que se cancelaran sus datos del citado fichero negándose Avon, y además el contrato que le aportan no tiene firma y no acreditan que se hubiera dado de alta en la página web. La reclamante adjunta la siguiente documentación: - Denuncia presentada el 3 de julio de 2018 en las dependencias de la Dirección General de la Policía, Comisaria de Madrid-Usera, Atestado nº: 21882/18, en donde se recoge que con ocasión de intentar realizar una operación bancaria en su entidad le informan que está inscrita en una lista de morosos por Avon Cosmetic. - Documento con el logotipo de Equifax de 25 de mayo de 2018 en el que figura el nombre, apellidos y DNI de la reclamante en el fichero Asnef, asociado a un producto de Otros siendo la fecha de alta el 11/04/2018 y el informante Avon Cosmetics, SAU. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante y de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Con fecha 10 de octubre de 2018, Avon, ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 1. Según la información que consta en su base de datos la reclamante es distribuidora de Avon en virtud de contrato mercantil de distribución, suscrito el 27 de noviembre de 2017, el cual, aportan. Asimismo, adjuntan, el log de aceptación dado que su aceptación es online, así como la impresión de pantalla de los sistemas de Avon. Número de cuenta: ***NÚMERO.1 Fecha de registro: ***FECHA.1 Nombre: A.A.A. Apellidos: A.A.A. Fecha de nacimiento: ***FECHA.2 Email: ***EMAIL.1 Nombre de la calle: ***DIRECCION.1 Ciudad: MADRID Código Postal: ***DIRECCION.1 Teléfono: ***TELEFONO.1 Respecto a la deuda reclamada a la reclamante: 1. Aportan copia de la factura y el albarán de entrega del pedido, manifiestan que la reclamante realizó un pedido por un importe de XXX,XX euros, el cual, debía haber sido abonado a los 21 días desde la fecha de la factura, tal y como se establece en la cláusula octava del contrato mercantil de distribución y que, en esta fecha continua pendiente de abono. 2. Por lo anterior, incluyen a la reclamante en el fichero de solvencia patrimonial y de crédito previa notificación y requerimiento de pago. Dicha notificación se llevó a cabo, en primer lugar, a través de la referida cláusula octava del contrato mercantil de distribución “En caso de no producirse el pago de cualquier cantidad adeuda en el referido plazo de veintiún

(21)días, los datos relativos al impago podrán ser comunicados a ficheros comunes relativos al cumplimiento o incumplimiento de obligaciones dinerarias en la forma prevista en la normativa aplicable.” y en segundo lugar, mediante comunicación personalizada y enviada a la reclamante informándole, tanto de la cuantía de la deuda como la posibilidad de inclusión de sus datos en ficheros de solvencia patrimonial. Dicha comunicación se efectuó vía SMS certificado al número de teléfono que indica la distribuidora al perfeccionar el contrato mercantil de distribución informando de la deuda existente y de las consecuencias de no realizar el pago (adjuntan copia del SMS certificado enviado a la reclamante en el que textualmente se manifiesta: “SMS Certificado: nos ponemos en contacto con Ud. Con motivo de la deuda, vencida y exigible, que tiene pendiente de pago a Avon y que asciende a XXX,XX €. De no hacerse efectivo ese pago en el tiempo máximo de 15 días desde la recepción de este mensaje, procederemos al registro de la deuda en ASNEF (fichero de morosidad). Para cualquier duda contacte con At. Cliente 918892929”. Mediante Diligencia de fecha 15 de abril de 2019 se incorpora al expediente E/05308/2018 -del que trae causa el PS/00159/2019- la información general de la 3/12 entidad extraída del Registro Mercantil en esa misma fecha de la que destacamos que el capital social suscrito y desembolsado asciende a 1202024,21 de euros. TERCERO: Con fecha 24 de abril de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AVON COSMETICS SAU, con NIF A28151298, por la presunta infracción del artículo 6.1. del RGPD tipificada en el artículo 83.5.
  1. a)del citado RGPD. CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denunciada, mediante escrito de fecha 13 de mayo de 2019, formuló, en síntesis, las siguientes alegaciones: 1. Que Avon contaba con base legitimadora suficiente para tratar los datos de su distribuidora, consistente en un contrato de distribución debidamente aceptado y firmado (electrónicamente), que no habría sido formalizado por la reclamante, sino por un tercero, que empleando de manera fraudulenta sus datos, habría formalizado ese contrato para aprovecharse de las condiciones de financiación de Avon y adquirir sus productos sin intención de abonarlos (esto es de cometer una estafa típica). El motivo por el que los datos de la reclamante se han visto incorporados a un fichero de solvencia es haberse producido un engaño y estafa, se ha basado en un error invencible de tipo, en la conciencia de que la denunciante era quien decía ser. 2. Señala que nos encontramos ante un caso idéntico a los de la creación de perfiles falsos en redes sociales a fin de cometer delitos de injurias y calumnias, señalando que ésta es precisamente la postura que ha tomado siempre la AEPD, aportando la Resolución R/2831/2012, en que además de exonerar a las compañías responsables de las redes sociales de toda responsabilidad, se acordó sancionar al individuo persona física responsable de cometer la suplantación de personalidad y engaño. 3. Manifiesta, que la propia AEPD ha aceptado esta propuesta para Avon, acordando en su resolución E/09980/2018 relativa a un caso idéntico al que ahora nos enfrentarnos la clausura del procedimiento sancionador. 4. Indica, que queda acreditado que Avon actuó diligentemente conforme a la información que en ese momento contaba y que todo parece indicar le fue proporcionada dolosamente para inducir a un error invencible del tipo. 5. Añade, que Avon respeta escrupulosamente la legalidad vigente en materia de protección de datos. Así, Avon ordenó el 13 de julio de 2018 la baja inmediatamente de la reclamante en el citado fichero de solvencia patrimonial sin realizar ningún tipo de oposición a la cancelación de sus datos. 6. Avon solicita que se incorpore al presente procedimiento la documentación que acompaña a las presentes alegaciones. QUINTO: Se inició período de pruebas por el instructor del procedimiento, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Servicios de Inspección ante Avon y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00159/2019, presentadas por la representación de la entidad denunciada. SEXTO: Con fecha 21 de junio de 2019 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 60.000€ a AVON COSMETICS SAU, con NIF A28151298, por la infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD. SÉPTIMO: Con fecha de entrada en esta Agencia el 5 de julio de 2019 Avon realizó alegaciones frente a la citada propuesta de resolución en la que solicita el archivo o suspensión provisional del procedimiento. Alega la reclamada que su actuación ha sido escrupulosamente respetuosa con el derecho a la privacidad y al respecto a los datos personales de la reclamante, por haber sido el tratamiento de los datos realizado por Avon en todo momento conforme a la vigente normativa española sobre protección de datos personales o bien y en su caso, haberse basado dicha actuación en un error invencible de tipo, en la conciencia de que la distribuidora era quien decía ser. Manifiesta que para el caso que la AEPD siga considerando necesario que se acredite documentalmente la fecha de baja de la denunciante ordenada por Avon, se requiera por parte de la AEPD a Asnef/Equifax que aporte certificado documental que acredite que fue la propia Avon a través del sistema habilitado por Equifax la que dio de baja a la denunciante en fecha 13 de julio de 2018 en el fichero Asnef. Subsidiariamente solicita se suspenda provisionalmente el presente procedimiento administrativo a la espera de que se esclarezcan los hechos objetos de investigación penal. HECHOS PROBADOS 1º- Consta reclamación presentada por la reclamante, manifestando que Avon ha hecho un uso inadecuado de sus datos personales, no comprobando su identidad e incluyéndola en el fichero de solvencia patrimonial Asnef. Se aporta denuncia ante la Dirección General de la Policía. 2º - Consta que sus datos fueron informados a Asnef por AVON COSMETICS, con fecha de alta 11/04/2018. 3º - Por parte de AVON COSMETICS se ha aportado factura del pedido realizado por la reclamante y el albarán de entrega de dicho pedido. FUNDAMENTOS DE DERECHO I 5/12 En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control y según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a Avon, que ha quedado reflejada en los hechos declarados probados arriba relatados. Con carácter previo procede resolver la alegación presentada por la representación de Avon, en base a la existencia de una prejudicialidad penal, como ya se expuso en la propuesta de resolución. Se manifiesta que al haber tenido conocimiento que ciertos hechos que podrían ser constitutivos de un supuesto de delito de estafa tipificado en el artículo 248 y siguientes del Código Penal, se ha presentado una denuncia ante la policía nacional, lo que conllevaría la declaración de la suspensión del presente procedimiento ante la concurrencia de una posible infracción penal por falsedad documental, suplantación de la personalidad y estafa. En particular, y en virtud de la denuncia presentada por la reclamante, Avon ha tenido conocimiento de que se podría haber falseado su proceso de contratación empleando un tercero de forma fraudulenta la identidad de la denunciante. Debe tenerse en cuenta que el art. 77.4 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP): “En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien”. Sin embargo, aunque existieran diligencia previas penales en tramitación, que no constan, hay que indicar, que no existe la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de sujeto, hecho y fundamento), entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPD el responsable es la entidad Avon, en tanto que el responsable penal de un eventual delito de usurpación de estado civil o estafa sería el tercero que se hubiera hecho pasar por el denunciante-. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPDGDD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil y el patrimonio, respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto 1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad sancionadora, únicamente prevé la suspensión del procedimiento administrativo cuando se verifique la existencia efectiva y real de un procedimiento penal, si se estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la infracción administrativa y la infracción penal que pudiera corresponder. No obstante, y para la concurrencia de una prejudicialidad penal, se requiere que ésta condicione directamente la decisión que haya de tomarse o que sea imprescindible para resolver, presupuestos que no concurren en el caso examinado, en el que existe una separación entre los hechos por los que se sanciona en la resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos ahora controvertidos, también actuaciones penales frente a la empresa distribuidora, lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito administrativo, en cambio, la facultad de disposición de sus datos personales por parte de su titular, por lo que tal objeción de la demandada ha de ser rechazada”. En consideración a lo expuesto no puede prosperar la cuestión planteada por la representación de Avon y debe ser rechazada. III Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción de la que se responsabiliza a la entidad reclamada se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, 7/12 tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 1 Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  4. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV La documentación que obra en el expediente ofrece evidencias de que Avon, vulneró el artículo 6.1 del RGPD, toda vez que no acredita la legitimación para el tratamiento de los datos de la reclamante, ya que el contrato no aparece firmado y ha sido negada su formalización. La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en supuestos como el que aquí se plantea, ha considerado que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia debiendo el responsable del tratamiento de datos de terceros recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto. Los datos personales de la reclamante fueron registrados en los ficheros de Avon y fueron tratados para la emisión de facturas por servicios asociados a la persona denunciante y para ser incluidos en fichero de solvencia patrimonial y crédito. La documentación que Avon ha aportado consiste en un contrato mercantil de distribución, y el log de aceptación online. Sin embargo, y esto es lo esencial, Avon no acredita la legitimación para el tratamiento de los datos de la reclamante, ya que el contrato no aparece firmado y ha sido negada su formalización. Los dos únicos extremos que la reclamada, Avon, ha acreditado a través de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es documentos que facilitó a la Agencia durante las actuaciones previas a saber, que los datos del reclamante los obtuvo a través de la web. La razón es que ninguno de los referidos documentos acredita lo que es sustancial en el asunto, que Avon haya cumplido la obligación inexcusable que le impone la normativa de protección de datos de acreditar una de las causas legitimadoras del tratamiento del titular de los datos. En definitiva, la reclamada no ha aportado documento o elemento probatorio alguno que evidencie que la entidad, ante tal situación, hubiera desplegado la diligencia mínima exigible para verificar que efectivamente su interlocutora era la que afirmaba ostentar. El respeto al principio de licitud que está en la esencia del derecho fundamental de protección de datos de carácter personal exige que conste acreditado que la responsable del tratamiento desplegó la diligencia imprescindible para acreditar ese extremo. De no actuar así -y de no exigirlo así esta Agencia, a quien le incumbe velar por el cumplimiento de la normativa reguladora del derecho de protección de datos de carácter personal- el resultado sería vaciar de contenido el principio de licitud. Debe destacarse que, pese al requerimiento informativo de la Inspección de Datos de esta Agencia, la reclamada no puso fin a la situación irregular provocada y que insiste en considerar legítimo el tratamiento de datos efectuado argumentando que es prueba bastante a esos efectos el contrato mercantil de distribución, cuya aceptación se hizo online que, como queda dicho, en ningún caso hacen prueba de tal legitimación. Respecto a lo invocado por Avon, en relación con la resolución R/02831/2012 y el E/09980/2018, alegando, en síntesis, que son casos idénticos. No puede prosperar por contener valoraciones subjetivas de la reclamada, y no guardan similitud con este procedimiento, en el presente Avon ha efectuado un tratamiento de los datos personales sin que haya acreditado que cuente con la legitimación para su tratamiento y aún considerando que la fecha de baja en el fichero Asnef fuera el 13 de julio de 2018. Por otro lado, respecto a la resolución R/02831/2012, el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), establece su ámbito de aplicación material en el artículo 2, que prevé su aplicación al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. Según se establece en el apartado 2 del mismo artículo, no se aplica al tratamiento de datos personales:
  5. a)en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;
  6. b)por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del TUE;
  7. c)efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas;
  8. d)por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención. 9/12 Según lo dispuesto en su considerando 18, el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), no se aplica al tratamiento de datos de carácter personal por una persona física en el curso de una actividad exclusivamente personal o doméstica y, por tanto, sin conexión alguna con una actividad profesional o comercial. Entre las actividades personales o domésticas cabe incluir la correspondencia y la llevanza de un repertorio de direcciones, o la actividad en las redes sociales y la actividad en línea realizada en el contexto de las citadas actividades. No obstante, el RGPD se aplica a los responsables o encargados del tratamiento que proporcionen los medios para tratar datos personales relacionados con tales actividades personales o domésticas, por lo que cabe entender que no es aplicable a la actividad en las redes sociales, que no es este caso que entra dentro del ámbito de aplicación material de la normativa sobre protección de datos de carácter personal. V A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  9. a)a
  10. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  11. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  12. b)la intencionalidad o negligencia en la infracción;
  13. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  14. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  15. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  16. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  17. g)las categorías de los datos de carácter personal afectados por la infracción;
  18. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es
  19. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  20. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  21. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  22. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  23. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  24. a)El carácter continuado de la infracción.
  25. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  26. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  27. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  28. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  29. f)La afectación a los derechos de los menores.
  30. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  31. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el caso que nos ocupa al negar la reclamante que hubiera contratado con Avon, y no haberse aportado ningún medio de prueba suficiente que acredite dicha contratación, debe considerarse vulnerado el artículo 6 del RGPD. Se considera que procede graduar la sanción de multa a imponer en el presente caso a Avon como responsable de una infracción tipificada en el artículo 83.5.
  32. a)del RGPD, y se estiman concurrentes los siguientes factores: 1 El alcance meramente local del tratamiento de datos efectuado por la reclamada. 2 Sólo una persona ha resultado afectada por la conducta infractora. 3 El daño causado al afectado por el tratamiento de sus datos no llega a ser muy significativo. 4.La duración del tratamiento efectuado por la reclamada sin legitimación para ello, pero, al menos, consta que se suscribió el contrato mercantil de distribución el 27 de noviembre de 2017. 11/12 5. No se tiene constancia de que la reclamada hubiera obrado dolosamente ni con una negligencia relevante. 6. La reclamada no adoptó ninguna medida para corregir los efectos de la infracción. 7. Existe una evidente vinculación entre el tratamiento de datos de carácter personal y la actividad que desarrolla la entidad reclamada. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AVON COSMETICS SAU, con NIF A28151298, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 60.000,00 €. SEGUNDO: NOTIFICAR la presente resolución a AVON COSMETICS SAU. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  33. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Finalmente, se señala que conforme a lo previsto en el art. 90.3
  34. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.