← España

PS-00164-2021

1/15  Expediente Nº: PS/00164/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de julio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00164/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La JEFATURA SUPERIOR DE POLICÍA DE CATALUÑA (en adelante, el reclamante) con fecha 14 de enero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, el reclamado). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 En el Acta remitida por la Jefatura Superior de Policía de Cataluña se indica lo siguiente: “Al acudir a estos lugares, los usuarios se han visto forzados a facilitar sus datos personales, tanto de manera escrita como aportando copia de su documentación identificativa, a los empleados o personas que ofrecen este servicio para que, con dichos datos, puedan reservarle la cita ante la administración … en fecha 24/11/2020, por parte de funcionarios policiales adscritos a esta Unidad, se realizó una inspección administrativa en el locutorio denominado "***LOCUTORIO.1", sito en la calle ***DIRECCIÓN.1 de Barcelona, en la cual se constató la existencia de numerosas fichas de clientes (papeles manuscritos, copias de documentación, resguardos de cita previa NIE), que eran almacenadas en dicho establecimiento con la supuesta finalidad de la obtención de citas previas para la realización de diferentes trámites, extendiéndose en el lugar la preceptiva acta de inspección cuya copia se adjunta al presente escrito. En el interior del establecimiento, se procedió a la intervención cautelar de 175 hojas con anotaciones manuscritas/fotocopias de documentación conteniendo datos personales y de 43 copias de resguardo de citas previas obtenidas a nombre de otros tantos ciudadanos, con la finalidad de realizar las correspondientes gestiones policiales con los titulares de esa documentación”. En el acta policial se recogen las manifestaciones del trabajador de la gestoría que, además de afirmar que no informan a los clientes, asegura que se deshacen de todas las hojas donde aparecen dichos datos tirándolas a la basura. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/00719/2021, se dio traslado de dicha reclamación al reclamado el 22 de febrero de 2021, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 4 de marzo de 2021, se responde por el reclamado al citado requerimiento alegando lo siguiente: “La Administración española por motivos de salud general, no habilita mecanismos para que los ciudadanos puedan tener acceso franco y preferente a diversos servicios administrativos lo cual provocó largas esperas, pérdidas de documentos de identificación por caducidad y otras diversas complicaciones administrativas para los ciudadanos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 Hay que concretar que se trata de una oficina abierta al público donde cualquier persona puede acceder libremente y contratar (voluntariamente) el servicio que desee. Resulta imposible que se disponga en un negocio de este tipo de datos personales y de fotocopias de documentos de identificación si el cliente no solicita y acuerda personalmente el servicio a presta el cual es imposible de realizar si no se entrega voluntariamente la información necesaria para realizarlo, servicio del cual se entregaba al cliente recibo y copia de los tramitado y días después se le comunicaba y venía al local a recoger su cita y se le devolvía la documentación entregada por el cliente, en ningún momento se guardaba documentación alguna del cliente una vez terminado la prestación del servicio o tramite; por lo cual no existe ni uso indebido ni carente de permiso expreso del cliente.” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 4 del el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 (Reglamento General de Protección de Datos, en adelante RGPD), bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por lo tanto, de conformidad con dichas definiciones, la recogida de datos de carácter personal constituye un tratamiento de datos, respecto del cual el responsable del tratamiento ha de dar cumplimiento a lo previsto en el artículo 13 del RGPD. En relación con este asunto, se observa que la Agencia Española de Protección de Datos tiene a disposición de los ciudadanos, la Guía para el cumplimiento del deber de informar (https://www.aepd.es/media/guias/guia-modelo-clausula-informativa.pdf) y, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (https://www.aepd.es/herramientas/facilita.html). III El artículo 13 del RGPD, precepto en el que se determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, dispone: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

  1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  2. b)los datos de contacto del delegado de protección de datos, en su caso;
  3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15
  5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  10. d)el derecho a presentar una reclamación ante una autoridad de control;
  11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  12. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Por su parte, el artículo 11 de la LOPDGDD, dispone lo siguiente: “1. Cuando los datos personales sean obtenidos del afectado el responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
  13. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  14. b)La finalidad del tratamiento.
  15. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.” IV Por su parte, el artículo 32 del RGPD establece lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  16. a)la seudonimización y el cifrado de datos personales;
  17. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  18. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  19. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” V En este supuesto, esta Agencia ha constatado que el reclamado requiere a sus clientes que faciliten sus datos personales para reservarles cita previa para la tramitación de documentación de la Policía Nacional, sin indicar ninguno de los aspectos exigidos en el artículo 13 del RGPD, indicados en el fundamento de derecho III, es decir, al tomar datos de carácter personal el encargado del tratamiento, es decir el reclamado, ha de informar al titular de los mismos, de los aspectos indicados en dicho precepto como la identidad y los datos de contacto del responsable y, en su caso, de su representante; los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento, etcétera. Por lo tanto, al no cumplir el reclamado con la información exigida en el citado artículo 13 del RGPD, podría incurrir en una infracción del RGPD. En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15
  20. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  21. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  22. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83.5.
  23. b)del RGPD establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  24. a)los derechos de los interesados a tenor de los artículos 12 a 22;” A su vez, el artículo 74.
  25. a)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas leves dispone: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular las siguientes:
  26. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.” VI En segundo lugar, se constata que el reclamado se deshace de todas las hojas donde aparecen dichos datos de carácter personal tirándolas a la basura, lo cual supone una falta de medidas de seguridad y de privacidad, de conformidad con el art. 32 del RGPD, transcrito en el fundamento IV que señala que “el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 El artículo 83.4
  27. a)del RGPD establece que: Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  28. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43 A su vez, el artículo 73.
  29. g)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas graves dispone: “En función del artículo 83.4 del Reglamento (UE) 2016/679 se considerarán graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel, y en particular los siguientes:
  30. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679.” VII De conformidad con los preceptos indicados, contra la infracción del artículo 13 podría dirigirse un apercibimiento, de acuerdo con el artículo 58.2.
  31. b)del RGPD, al recogerse a través de dicho formulario datos básicos de los usuarios y considerar que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
  32. b)del RGPD constituiría una carga desproporcionada para el reclamado, cuya actividad principal no está directamente vinculada al tratamiento de datos personales, ya que no consta la comisión de ninguna infracción anterior en materia de protección de datos. Asimismo, de confirmarse la existencia de infracción, de acuerdo con lo establecido en el citado artículo 58.2.
  33. d)del RGPD, en la resolución podrá ordenarse al reclamado, como responsable del tratamiento, la adecuación de la información ofrecida a los usuarios cuyos datos personales se recaban de los mismos a las exigencias contempladas en el artículo 13 del RGPD, así como la aportación de medios de prueba acreditativos del cumplimiento de lo requerido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 Por otro lado, de conformidad con los preceptos indicados, contra la infracción del artículo 32 se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes:  En el presente caso estamos ante acción negligente no intencional, pero sobre datos significativos que permiten la identificación de una persona (artículo 83.2
  34. b) Se encuentran afectados identificadores personales básicos (nombre, un número de identificación, el identificador de línea), según el artículo 83.2
  35. g)Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR A A.A.A. con NIF ***NIF.1, de conformidad con lo previsto en el artículo 58.2.
  36. b)del RGPD, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  37. b)del RGPD. 2 INICIAR PROCEDIMIENTO SANCIONADOR A A.A.A. con NIF ***NIF.1, de conformidad con lo previsto en el artículo 58.2.
  38. b)del RGPD, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
  39. a)del RGPD. 3. NOMBRAR como Instructora a B.B.B. y como Secretario a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). 4. INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuestas por la reclamante y los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en relación con dicha reclamación; todos ellos forman parte del expediente. 5. QUE a los efectos previstos en el art. 64.2.
  40. b)de la ley 39/2015, de 1 de octubre y artículo 58.2.
  41. b)del RGPD, correspondería dirigir un APERCIBIMIENTO, por la infracción del artículo 13 del RGPD, sin perjuicio de lo que resulte de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 6. QUE a los efectos previstos en el art. 64.2.
  42. b)de la ley 39/2015, de 1 de octubre y artículo 58.2.
  43. b)del RGPD, correspondería imponer una sanción de 3.000 euros (tres mil euros) por la infracción del artículo 32 del RGPD, sin perjuicio de lo que resulte de la instrucción. 7. NOTIFICAR el presente Acuerdo a A.A.A. con NIF ***NIF.1, indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes. En su escrito de alegaciones deberá facilitar su CIF y el número de procedimiento que figura en el encabezamiento de este documento. 8. Que, de confirmarse la existencia de infracción del artículo 13 del RGPD, a los efectos previstos en el artículo 58.2 del RGPD la medida correctiva que podría imponerse a A.A.A. con NIF ***NIF.1, en la resolución, consistiría al amparo de lo dispuesto en el artículo 58.2
  44. d)del RGPD, la adopción de las medidas necesarias para actualizar su “Política de Privacidad” a la normativa vigente en materia de protección de datos personales, -Reglamento (UE) 2016/679 (RGPD)-, adecuando la información ofrecida a las exigencias contempladas en el artículo 13 del RGPD, debiendo facilitar a los usuarios, con carácter previo a la recogida de los datos personales de los mismos, toda la información exigida en el citado precepto, para lo que el reclamado deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento, así como lo indicado en el artículo 5 del RGPD en lo relativo a la finalidad del tratamiento y plazo de conservación de los datos. Dichas medidas se habrían de adoptar, en su caso, en el plazo de un mes computado desde la fecha en la que se le notifique la resolución sancionadora, debiendo aportarse los medios de prueba acreditativos de su cumplimiento. 9. Que, de confirmarse la existencia de infracción del artículo 32 del RGPD, se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio lo que llevará aparejada una reducción de un 20% de la sanción total que proceda imponer en el presente procedimiento, equivalente en este caso a 600 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 2.400 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción total propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 600 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 Con la aplicación de esta reducción, la sanción total quedaría establecida en 2.400 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción total quedaría establecido en 1.800 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (2.400 euros o 1.800 euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Asimismo, de conformidad con los artículos 64.2.
  45. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que según lo previsto en el artículo 85.1 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio, pudiendo, en ese caso, resolverse el procedimiento con la imposición de la sanción que proceda. Con arreglo a lo previsto en el artículo 64.2 de la LOPDGDD, el procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. De conformidad con lo establecido en los artículos 55, 57.1 y 58.2 del RGPD, la competencia para resolver el presente Procedimiento de Apercibimiento corresponde a la Directora de la Agencia Española de Protección de Datos. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 31 de julio de 2021, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1.800 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  46. d)e
  47. i)y 38.4 d),
  48. g)y
  49. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00164/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  50. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-160721 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.