PS-00173-2015

1/10 Procedimiento PS/00173/2015 RESOLUCIÓN: R/02112/2015 En el procedimiento sancionador PS/00173/2015, instruido por la Agencia Española de Protección de Datos a la entidad Banco de Sabadell SA y a Serco Mudéjar SLU, vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19 de marzo de 2014 tiene entrada en esta Agencia un escrito de B.B.B. en el que denuncia que es empleado de la entidad Serco Mudéjar SLU y que en enero de 2014 recibió un comunicado de su empresa en el que le indicaban que para cobrar la nómina debía abrir una cuenta en Sabadell Atlántico, adjuntando contratos de cuenta corriente rellenados por el banco en los que figuran sus datos personales. No había dado su consentimiento. Además ha recibido a su nombre y en su domicilio publicidad no solicitada de la entidad bancaria Sabadell. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad Banco de Sabadell SA y a Serco Mudéjar SLU, teniendo conocimiento de que: <<< 1.-- Según indican los representantes de Banco Sabadell, los datos del afectado fueron cedidos por la sociedad Serco Mudéjar SLU mediante la entrega de una fotocopia del DNI de D. B.B.B., con la finalidad de abrir una cuenta a su nombre para domiciliar el pago de la nómina. No aportan documentación que acredite el consentimiento del afectado para referida cesión de datos y su tratamiento por la entidad bancaria. En la actualidad los datos del afectado se encuentran cancelados en los ficheros de la entidad. 2.-- Se ha requerido a la entidad Serco Mudéjar para que aporte documentación que acredite el consentimiento del reclamante para la cesión de sus datos a Banco Sabadell. Este requerimiento fue efectivamente entregado en la entidad en fecha 11/11/2014 sin que se haya recibido respuesta hasta la fecha. Se ha localizado por Internet información publicada en el Boletín Oficial del Estado en el que se refleja que la entidad está en concurso de acreedores. >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Serco Mudéjar SLU realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco al cederlos a Banco de Sabadell SA para que realizara apertura de cuenta donde domiciliar la nómina. Igualmente Banco de Sabadell SA realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco al incorporarlos a su fichero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 clientes y posteriormente remitir por correo postal a nombre del denunciante, y a su domicilio, información comercial no solicitada. CUARTO: Con fecha 17/03/15, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a: -- Serco Mudéjar SLU por una presunta infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. k)de dicha norma. -- Banco de Sabadell SA por una presunta infracción del artículo 6.1 de la LOPD), tipificada como grave en el artículo 44.3.
2. b)de dicha norma. QUINTO: Notificado el acuerdo de inicio, Banco de Sabadell SA obtuvo copia del expediente y en el plazo ampliado presento escrito solicitando se declare la no existencia de responsabilidad o subsidiariamente sanción leve o grave en su importe mínimo. Se base en las siguientes alegaciones <<< …
3. a)Entre la sociedad SERCO MUDÉJAR, SLU. y mi representado se alcanzó acuerdo en virtud del cual Banco de Sabadell, S.A. se comprometía a abonar la nómina de los empleados de la citada empresa que tuvieran domiciliada la misma en una cuenta abierta en Banco de Sabadell, con cinco días naturales de antelación a la fecha en que teóricamente se cursaba la orden de ejecución de abono de nóminas realizada por la empresa.
4. b)A tal efecto, el representante de SERCO MUDÉJAR, SLU. tras confirmar que había comentado la operativa de la apertura de las cuentas y la cesión de los datos al efecto con sus empleados, y específicamente con D. B.B.B., facilitó los datos personalmente al director de la oficina que mi representado tiene abierta en de Teruel, D A.A.A., entregando al propio tiempo copia del D.N.I. del denunciante. Según indicó el representante del SERCO MUDEJAR, SLU., D. D.D.D., el Sr. B.B.B. estaba interesado en la apertura de la citada cuenta, informándose al momento de facilitar los datos del mismo, que el Sr. B.B.B. había prestado su consentimiento a tal efecto. Habida cuenta que el Sr. B.B.B. residía en Logroño, no podía desplazarse a Teruel, informándose que el Sr. B.B.B. se había comprometido a pasar por una oficina de mi representado abierta en Logroño a fin de firmar los contratos de apertura de la cuenta y servicios asociados, una vez los mismos hubieran sido redactados y emitidos con sus datos personales, para poder recibir el abono de la nómina en la forma pactada con la empresa.
5. c)En atención a ello, se procedió a la apertura provisional no operativa de una cuenta a nombre del Sr. B.B.B., quedando a la espera de que por parte del mismo se procediera a formalizar definitivamente la apertura de la citada cuenta en una oficina de Banco de Sabadell en la ciudad de Logroño.
6. d)Como sea que el Sr. B.B.B. no llegó a formalizar la apertura de la cuenta, se procedió a la cancelación de la cuenta y servicios asociados quedando los datos bloqueados. … Dada la descripción realizada, entendemos por tanto que no concurren los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 elementos típicos de la calificación propuesta por la Agencia Española de Protección de Datos: no se ha omitido ningún consentimiento por parte de Banco Sabadell preciso legalmente para el tratamiento de los datos controvertidos. …. Se entendió que la cesión era correcta y además no se llegó tan siquiera a aperturar la cuenta, ya que solamente lo fue a nivel provisional y a la espera inmediata de que el empleado de SERCO MUDEJAR, SLU. formalizara la apertura definitiva ya que debía cobrar su nómina a través de la misma. … no parece que en ningún momento resultase seriamente amenazado el honor, la intimidad personal o familiar, cuya garantía es el principal objetivo de la LOPD … … la inexistencia de beneficio alguno para mi representado, y que el volumen de tratamientos efectuados ha sido el mínimo para que, en su caso, pueda considerarse cometida la infracción, es decir uno. … en la hipótesis de considerar cometida alguna infracción, esta, dada sus circunstancia, entendemos que merecería una calificación proporcional a los hechos acreditados, y en consecuencia, no podría dicha infracción exceder del carácter de leve. …, solo en defecto de la pretensión anterior y partiendo de la misma hipótesis no compartida de la concurrencia de algún hecho sancionable, se solicitaría una consideración del mismo como infracción grave en grado mínimo, … . >>> SEXTO: Con fecha 20/05/15, se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia y los documentos que le acompañan, los obtenidos y generados por la Inspección y las alegaciones al acuerdo de inicio de Banco de Sabadell SA. Se requirió a las imputadas la aportación de documentos. No se han recibido respuestas. SÉPTIMO: Con fecha 16/06/15 se formuló propuesta de resolución, consistente en: PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a Serco Mudéjar SLU con multa de 40.001 € (cuarenta mil y un mil euros) por la infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
7. k)de dicha norma. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se sancione a Banco de Sabadell SA con multa de 50.000 € (cincuenta mil euros), por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
8. b)de dicha norma. OCTAVO: Ambas imputadas recibieron la notificación de la propuesta. El plazo para formular alegaciones por Serco Mudéjar SLU concluyó el 09/07/15 y hasta la fecha no ha presentado escrito alguno. Banco de Sabadell SA presentó escrito de alegaciones adjuntando impresión de pantalla de su base de datos donde figuran los datos personales del denunciante. Reitera las alegaciones ya expuestas frente al acuerdo de inicio, y solicita se declare la no existencia de responsabilidad o, subsidiariamente, una sanción graduada conforme a los apartados 45.5 y 45.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS: 1) Serco Mudéjar SLU es la empresa en la que el denunciante ( B.B.B.) prestaba sus servicios laborales, cuando se produjeron los hechos objeto de este procedimiento 2) En la base de datos de Banco de Sabadell SA figuran los datos del denunciante asociados a la cuenta bancaria C.C.C.. El denunciante aporta 4 copias del contrato de cuenta bancaria cumplimentados con los datos personales del denunciante sin firmar fechado el 16/01/14, 2 copias de contrato de servicio de banca a distancia con los mismos datos personales y un folleto publicitario sobre la cuenta remitido a su nombre y domicilio. El denunciante niega haber proporcionado sus datos personales o haber dado su consentimiento para ese fin. 3) Banco de Sabadell SA en su escrito de 24/11/14 a la Inspección hace constar que los datos personales del denunciante le fueron proporcionados por la empresa empleadora Serco Mudéjar SLU junto con una copia del DNI, junto con los de otros empleados de la misma con el fin de domiciliar el pago de la nómina en una cuenta del banco. 4) El Banco de Sabadell SA canceló la cuenta y los servicios asociados el 04/08/14. Así como al bloqueo de los datos personales del denunciante en su base de datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
9. g)en relación con el artículo 36 de la LOPD. II En primer lugar se imputa a Serco Mudéjar SLU una infracción del artículo 11.1 de la LOPD. “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” La citada Ley define cesión en su artículo 3 como “Toda revelación de datos realizada a una persona distinta del interesado”. En este caso los datos de carácter personal del denunciante que posibilitaron abrirle una cuenta, consistentes en nombre, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 apellidos, domicilio, nº de DNI, fueron proporcionados a Banco Sabadell por Serco Mudéjar, con entrega de copia del DNI. El artículo 5.1.
10. c)del Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD, dispone “Cesión o comunicación de datos: Tratamiento de datos que supone su revelación a una persona distinta del interesado.” La cesión de los datos personales del empleado-denunciante no se ampara en el artículo 11, pues este no habilita per se una cesión de datos del empleado a un banco concreto para que se le abra una cuenta bancaria. La suscripción de un convenio entre las entidades, o los beneficios ofrecidos al empleado, no presupone consentimiento del empleado. Solo el consentimiento inequívoco del denunciante serviría para proceder a dicho traspaso de datos. Serco Mudéjar SLU no ha acreditado que fuera el denunciante, único legitimado, quien le autorizara la cesión de datos al banco. Tampoco Banco de Sabadell SA ha acreditado que dispusiera de autorización documentada –proporcionada por Serco Mudéjar SLU- que le permitiera los datos para la apertura de la cuenta bancaria abierta para la percepción de la nómina. Se acredita la cesión de los datos personales del denunciante por parte de Serco Mudéjar SLU a Banco de Sabadell SA para abrir la cuenta bancaria denunciada. III La infracción de Serco Mudéjar SLU aparece tipificada como grave en el artículo 44.3.
11. k)de la LOPD “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave.” IV Como contraparte, Banco de Sabadell SA al recibir los datos los trató en el sentido que dispone el artículo 3.
12. c)de la LOPD sobre tratamiento: ”operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Banco de Sabadell SA ha infringido el artículo 6.1 que preceptúa: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El art. 3.
13. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28/02/2007 -recurso nº.236/2005-, “el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. “ Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la Audiencia Nacional de 8/11/2012 -recurso nº. 789/2010-) ligándolo con los posibles responsables de las infracciones que se determina en el artículo 43.1 de la LOPD con el literal: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” Una entidad dedicada a la contratación de cuentas bancarias debe conocer que cuando un tercero -que no es el titular de los datos- proporciona estos datos con el fin de que se abra una cuenta, ha de saber que esos datos proporcionados pueden haberlo sido de modo no respetuoso con la LOPD, pero resulta más grave si además realiza tratamiento de los mismos abriendo una cuenta y emite -y envía- comunicaciones o folletos publicitarios dirigidos a nombre del denunciante y a su domicilio, sin disponer del consentimiento inequívoco. Se acredita así la infracción de carencia del consentimiento en el tratamiento de datos por parte de Banco de Sabadell SA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 V La infracción de Banco de Sabadell SA aparece tipificada como grave en el artículo 44.3.
14. b)de la LOPD que precisa: ”Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Banco de Sabadell SA ha tratado los datos del denunciante sin contar con su consentimiento, lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
15. b)de la citada Ley Orgánica. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
16. a)El carácter continuado de la infracción.
17. b)El volumen de los tratamientos efectuados.
18. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
19. d)El volumen de negocio o actividad del infractor.
20. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
21. f)El grado de intencionalidad.
22. g)La reincidencia por comisión de infracciones de la misma naturaleza.
23. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
24. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10
25. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
27. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
28. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
29. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
30. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de la prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. Para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de las denunciada son de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17/09/1999. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Serco Mudéjar SLU, a pesar de haber recibido la notificación del acuerdo de inicio, del requerimiento de documentación en la práctica de pruebas y la propuesta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 resolución sancionadora, no ha presentado escrito alguno de alegaciones. Como empresa empleadora está habituada al tratamiento de los datos personales de sus trabajadores y conoce sus obligaciones para la conservación y tratamiento de los mimos, el deber de secreto y la prohibición legal de cederlos a terceros sin la autorización expresa o consentimiento inequívoco del titular de los mismos. No ha acreditado las razones, o las ventajas que la domiciliación de pago de nóminas de sus trabajadores por el citado banco pudiera proporcionar. No se han acreditado circunstancias agravantes –salvo las citadas, pero tampoco atenuantes. Por todo ello procede la imposición de una sanción de 40.001 €. Banco de Sabadell SA es una entidad financiera -de relevancia a nivel nacionalen crecimiento. El tratamiento de los datos personales objeto de este procedimiento es consecuencia de una política de captación de clientes entre las pequeñas empresas. Captación que lleva aparejado el tratamiento de los datos personales de los empleados de esas empresas sin constatar con la diligencia debida el consentimiento inequívoco de los titulares de los datos, confiados en la firma de los formularios de contratación, llevados por las posibles ventajas de la oferta. Pero este no ha sido el caso de la persona denunciante. El tratamiento inconsentido se produjo con la remisión de los formularios a través de la empresa empleadora y de la remisión personalizada de folletos publicitarios no solicitados a su dirección postal del domicilio. La recogida de los datos y su incorporación a la base de datos de clientes de B Sabadell es el16/01/14 y la baja de las cuentas bancarias que figura en su base de datos y la cancelación de dichos datos en los citados ficheros de clientes es el 04/08/14. La notificación de la petición de información por la Inspección de Datos es 17/11/14. La regularización de la situación irregular se había producido con anterioridad a tener conocimiento de la denuncia origen de este procedimiento. Esta actuación diligente, unida al hecho de que B. Sabadell recabó copia del DNI del titular de los datos antes de realizar el tratamiento y a que la cuenta bancaria a nombre del denunciante no fue activada, no justifica la infracción detectada –principalmente en lo que se refiere al envío de folletos publicitarios-, pero permite fijar la sanción –dentro del tramo de las leves- por importe de 3.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Sancionar a Serco Mudéjar SLU con multa de 40.001 € (cuarenta mil y un mil euros) –conforme al artículo 45.2 y 4 de la LOPD- por la infracción del artículo 11.1 que es tipificada como grave en el artículo 44.3.
31. k)de la misma norma. SEGUNDO: Sancionar a Banco de Sabadell SA con multa de 3.000 € (tres mil euros) –conforme al artículo 45.2, 5 y 4 de la LOPD-, por la infracción del artículo 6.1 que es tipificada como grave en el artículo 44.3.
32. b)de dicha norma. TERCERO: NOTIFICAR la presente resolución a Banco de Sabadell SA, Serco Mudéjar SLU y a B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 CUARTO: Advertir a las sancionadas que la sanción impuesta deberán hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el CAIXABANK, S.A o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es