← España

PS-00173-2023

1/20  Expediente Nº: EXP202202414 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a YUDAYA S.L (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: PS/00173/2023 IMI Reference: A56ID 372395 - A60DD 522366 - Case Register 522365 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos, y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de febrero de 2022 interpuso reclamación ante Urząd Ochrony Danych Osobowych (en adelante, autoridad de protección de datos de Polonia). La reclamación se dirige contra YUDAYA, S.L. con NIF B35137538 (en adelante, YUDAYA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante fue huésped del hotel HD Acuario Lifestyle (Calle General Vives, 82, 35007, Las Palmas de Gran Canaria, Las Palmas). Afirma que el 02/01/2022 un empleado de este hotel hizo una copia de su documento de identidad sin proporcionarle la información requerida por el artículo 13 del RGPD. El 10/01/2022, la parte reclamante se puso en contacto con el hotel para averiguar sobre qué base legal se copió su documento de identidad sin cumplir con la obligación de información del RGPD. Ya habiendo vuelto a Polonia, le enviaron un formulario donde se proporciona información incompleta sobre protección de datos: en el formulario se indica que el resto de información adicional está en el reverso del formulario, pero no recibió el reverso de este formulario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 Entonces, la parte reclamante envió un correo electrónico al delegado de protección de datos del hotel, pero, hasta el momento de la presentación de la reclamación, no había recibido una respuesta definitiva, sino que solo le informaron de que su caso estaba siendo analizado por el departamento legal del hotel. Junto a la reclamación se aporta: Documentación relevante aportada por la SA Polonia: - Impresión de correo electrónico de fecha 11 de enero de 2022 remitido por hosting.acuario@hdhotels.com a una dirección de correo electrónico de la parte reclamante. En este correo, se le reenvía otro correo electrónico de fecha 10 de enero de 2022 indicando que hubo problemas en el envío. Dentro del contenido de ese correo de 10 de enero de 2022 aparece lo siguiente (traducción no oficial): “Hay un documento que todos los huéspedes firman a la llegada, desafortunadamente se registró cuando la recepción estaba cerrada y fue el equipo de seguridad quien le dio la bienvenida al hotel. Como su día de salida es hoy, por favor venga a la recepción para que pueda firmar el suyo y si lo desea podemos también enviárselo por correo electrónico.” - Documento que la parte reclamante indica que le enviaron junto al correo electrónico ya mencionado. Este documento, denominado “PARTE DE ENTRADA DE VIAJEROS”, contiene los datos de la parte reclamante: Núm de documento de identidad, Tipo de documento, Fecha expedición del documento, Primer apellido, Segundo apellido (en blanco), Nombre, Sexo, Fecha de nacimiento, País de nacionalidad, Fecha de entrada, domicilio, código postal, población, país, e-mail y teléfono, y, en él, se indica lo siguiente en idiomas español, inglés y alemán: <<Responsable: Identidad: “Yudaya S.L.” Finalidad: Gestión de las reservas. Mandarle comunicaciones comerciales. Legitimación: Ejecución de un Contrato y por Consentimiento del interesado. Derechos: Acceder, rectificar y suprimir los datos, solicitar la portabilidad de los mismos, oponerse al tratamiento y solicitar la limitación de éste. Información adicional, se puede consultar en el reverso de este formulario Asimismo, solicito su autorización para ofrecerle: Mandarles comunicaciones Comerciales. “Antes de firmar la solicitud, debe leer la información básica sobre protección de datos que se presenta en el reverso de este papel”.>> - Impresión de varios correos de la parte reclamante enviados por la parte reclamante, entre el día 11 de enero de 2022 y el 8 de febrero de 2022, a varias direcciones de correo (cuyos seudónimos son Acuario, rgpd, comunicacion y B.B.B.), que la parte reclamante indica que son del hotel, en los que solicita que le den la parte de información que le falta sobre cómo se han tratado sus datos tras el escaneo de su carnet de identidad, e indica que le falta recibir el reverso del formulario que le han enviado. - Impresión de un correo electrónico de fecha de 25 de enero de 2022 remitido por una dirección cuyo seudónimo es “Acuario hdhotels” a la parte reclamante en el que se le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 indica que (Traducción no oficial): “Sentimos el retraso, nuestro departamento legal ya está trabajando en ello, se pondrán en contacto con usted tan pronto como sea posible.” SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 24/02/2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día 25/02/

  1. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que YUDAYA tiene su sede social y establecimiento único en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Polonia, la autoridad de Francia. Esta última en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: El 06/06/2022 la AEPD solicita, a través del Sistema IMI, a la autoridad de protección de datos de Polonia que volviese a enviar la información que ya había sido compartida mediante el traslado de la reclamación al que se refiere el Hecho anterior. La autoridad de protección de datos de Polonia atendió la petición de asistencia voluntaria formulada por esta Agencia a través de IMI el día 07/06/
  2. CUARTO: Con fecha 6 de junio de 2022 se incorporó al expediente la política de privacidad publicada por YUDAYA, la cual tiene un aviso de copyright de
  3. Dentro de esta política, en el apartado “
  4. ¿CUÁLES SON SUS DERECHOS EN PROTECCIÓN DE DATOS Y CÓMO PUEDE EJERCERLOS?”, respecto a la forma de ejercer los derechos se indica lo siguiente: “Estos derechos podrán ser ejercidos dirigiendo comunicación por escrito, debidamente firmada, acompañada de fotocopia del DNI, a YUDAYA, S.L., con domicilio social a estos efectos en Carretera del Rincón, S/N, Centro Comercial Las Arenas, C.P.3010 de Las Palmas de Gran Canaria, Las Palmas, España, o a través de la dirección de correo electrónico: rgpd@grupohd.com” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 QUINTO: Con fecha 07/06/2022, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN El día 28 de octubre de 2022, se reciben en la AEPD escritos de respuesta a requerimiento de información (este requerimiento de información fue accedido por YUDAYA el 17 de octubre de 2022), presentado en nombre de YUDAYA, con números de registro de entrada REGAGE22e000XXXXXXXX, REGAGE22e000XXXXXXXX, REGAGE22e000XXXXXXXX y REGAGE22e000XXXXXXXX, en los que se aporta, entre otra, la siguiente información:
  5. En respuesta a la solicitud del reverso del formulario aportado por la parte reclamante, se manifiesta que “no podemos acreditar la existencia de reverso de ese documento. Se debe a un fallo técnico en la impresión del acuerdo o contrato entre las partes (en adelante Kardex). Lo que sí podemos acreditar es que a pesar del fallo que señalamos, esta información básica de protección de datos consta en un cartel informativo a la vista en la Recepción del Hotel. Se adjuntan fotografía de la existencia de este cartel de carácter informativo”…”tanto en la pared como en el mostrador de recepción, de forma que el Huésped puede leerlo a su entrada en el establecimiento”, y aportan una transcripción del cartel, en la que se informa sobre el responsable del tratamiento de datos, los datos de contacto del delegado de protección de datos, la finalidad del tratamiento, la legitimación, la regulación que les obliga a ceder información a las Fuerzas y Cuerpos de Seguridad del Estado, el plazo de conservación y la forma de ejercer los derechos a través del correo electrónico rgpd@grupohd.com, y la posibilidad de presentar reclamación ante la AEPD. También se aporta transcripción de la información sobre el tratamiento de datos de videovigilancia.
  6. Fotografía del mostrador de recepción del hotel (según indican en su escrito) en la que se observan 3 páginas en lugar visible con la información sobre protección de datos citada anteriormente en los idiomas español, inglés y alemán.
  7. Declaración de que, respecto a los datos tratados, “Debemos de precisar que lo que hace la entidad hotelera es extraer del documento de identidad o pasaporte, por medio de reconocimiento de caracteres (OCR), los datos que se requieren de forma automática. Aunque en algunos hoteles de la cadena este proceso de extracción se efectúa de forma manual. En concreto y exclusivamente, se extraen los siguientes datos personales: número de identificación, nombre y apellidos, fecha de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 nacimiento, fecha de expiración del documento, nacionalidad y sexo. No se graba ni el documento físico ni la fotografía del huésped. Es decir, la entidad no trata estos datos personales.”
  8. Respecto a que la legitimación del tratamiento es el cumplimiento de una obligación legal, alegan la aplicación de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, que en su artículo 25.1 establece: “Las personas físicas o jurídicas que ejerzan actividades relevantes para la seguridad ciudadana, como las de hospedaje, transporte de personas, acceso comercial a servicios telefónicos o telemáticos de uso público mediante establecimientos abiertos al público,” … “quedarán sujetas a las obligaciones de registro documental e información en los términos que establezcan las disposiciones aplicables”. Y, en este caso, alegan que las disposiciones aplicables en su caso se corresponden con la Orden INT 1922/
  9. E indican que “la posibilidad de efectuar este tratamiento por medios informáticos está incluso reconocido en la Orden Ministerial INT 1922/2003 que regula la actividad de tratamiento en concreto, cuando dispone que <<los establecimientos antes mencionados podrán cumplimentar los impresos de partes de entrada por procedimientos manuales o por procedimientos informáticos>>”. De este modo, alegan la aplicación de la Orden INT 1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos, que en su dispositivo Segundo establece: “
  10. Los impresos de partes de entrada de viajeros se ajustarán al modelo señalado en el Anexo y serán generados por los propios establecimientos a que se refiere la presente Orden.
  11. Los establecimientos antes mencionados podrán cumplimentar los impresos de partes de entrada por procedimientos manuales o por procedimientos informáticos, pero el viajero deberá firmar dicho parte de manera inexcusable.
  12. Una vez cumplimentado y firmado el impreso, quedará en el establecimiento a efectos de confección de un libro-registro, ordenándose de forma correlativa y constituyendo libros o cuadernos que integrarán un mínimo de 100 hojas y un máximo de
  14. El libro-registro del establecimiento de que se trate constituido conforme a lo previsto en el párrafo anterior, estará en todo momento a disposición de los miembros de las Fuerzas y Cuerpos de Seguridad con competencia en la materia, quedando los establecimientos obligados a exhibirlo cuando a ello sean requeridos.
  15. Los establecimientos deberán conservar los libros-registro durante el plazo de tres años, a contar desde la fecha de la última de las hojas registro que los integran.“ La legitimación basada en la Ley Orgánica 4/2015 y la Orden INT 1922/2003 también aparece en la fotografía de los carteles informativos en la recepción del hotel aportada como anexo a este escrito, indicándose de la siguiente manera: “La legitimación del tratamiento es respectivamente. la gestión de la prestación del servicio contratado, el cumplimiento de las obligaciones legales del Hotel, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 el consentimiento del interesado para recibir comunicaciones comerciales y elaboración de perfiles sobre sus preferencias y gustos. No se cederán a terceros datos personales, salvo para el cumplimiento de las obligaciones legales del Hotel. Conforme a la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana y la Orden INT/1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos, sus datos podrán ser comunicados a las Fuerzas y Cuerpos de Seguridad del Estado. No está prevista la realización de transferencias internacionales de datos” E indican que los datos del viajero que se tienen que recabar aparecen en el anexo a la Orden INT 1922/2003, en el cual se establecen los siguientes datos del viajero: “DATOS DEL VIAJERO Núm de documento de identidad: Tipo de documento:

(1)Fecha expedición del documento:
(5)Primer apellido: Segundo apellido: Nombre: Sexo:
(2)Fecha de nacimiento:
(3)País de nacionalidad:
(4)Fecha de entrada:
(5)_________, _____ de ________ de 20__ Firma del viajero” 5. Respecto a los motivos que hicieron que se produjese la incidencia descrita por la parte reclamante en su reclamación, declaran que “el huésped llegó en las horas en las que el servicio de recepción no se presta, y se atiende el check in y el check out excepcionalmente por el personal de seguridad del establecimiento (security team), que no tienen acceso a todos los sistemas informáticos, además que no habla inglés”, además, se indica que se produjo un “fallo técnico en el software del Kadex que impide la impresión completa del archivo”. 6. Respecto a las posibles cesiones de los datos, se indica que no se hace ningún tratamiento aparte de este indicado por la ley orgánica 4/2015 y la Orden INT 1922/2003, por lo que los únicos posibles destinatarios de los datos son las Fuerzas y Cuerpos de Seguridad del Estado. 7. Indicación de que, la parte reclamante “entabló en distinta fechas, contacto telefónico y atención personal con el personal de recepción del Hotel, en al menos tres ocasiones, y en esas ocasiones fue informado, en los términos que hemos expuesto anteriormente sore el tratamiento de los datos” … “es decir, para lo que es necesario tomar los datos señalados en el Pasaporte o Documentos de identidad y así ponerlos a disposición en los libros-registros a disposición de la Fuerzas y Cuerpos de Seguridad del Estado”. Y se aporta declaración jurada con apariencia de firma y fecha del 24 de octubre de 2022, cuyo firmante es C.C.C., que indican que es una de las empleadas del hotel que aparece entre los destinatarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 de los correos electrónicos de la parte reclamante, en la que se declara bajo juramento lo siguiente: “Que soy empleada del Hotel Acuario de la cadena HD Hotels, actualmente desempeñando las labores de (…), si bien en la fecha de la incidencia mi puesto era (…). Que por un problema en el Cardex (Hoja de registro en el hotel) no se disponía en el momento del registro del interesado D. A.A.A. de la segunda capa de información sobre protección de datos si bien, en el mes de febrero se mantuvo desde la recepción del hotel una conversación con el cliente en la que se le informa sobre la necesidad de tratar los datos personales necesarios para rellenar el libro registro que se presenta en su caso para las fuerzas y cuerpos de seguridad del Estado.” 8. Impresión de correo electrónico de fecha 27 de octubre de 2022 remitido por rgpd@grupohd.com hacia dos direcciones de correo electrónico (***EMAIL.1 y ***EMAIL.2) que se indica que son el canal de comunicación elegido por la parte reclamante en el que se informa en los idiomas español e inglés de que el tratamiento que se realiza con sus datos es el que ya se ha indicado de libroregistro para las Fuerzas y Cuerpos de Seguridad del Estado, y se le aporta la información del responsable del tratamiento, datos de contacto del delegado de protección de datos, finalidad del tratamiento, base jurídica, la no realización de transferencias internacionales de datos, la forma de ejercer los derechos de protección de datos por vía postal o por vía de correo electrónico a rgpd@grupohd.com, y la posibilidad de interponer reclamación ante la AEPD. CONCLUSIONES 1. La parte reclamante denuncia que no se le informó sobre el tratamiento realizado al escanear su DNI. YUDAYA indica que es escaneo del documento de identidad se realiza para obtener automáticamente datos necesarios para el cumplimiento de una obligación legal establecida en la Ley Orgánica 4/2015 y la Orden INT 1922/2003, cuyo objeto es recabar datos de los viajeros para un posible uso por parte de las Fuerzas y Cuerpos de Seguridad del Estado. 2. YUDAYA aporta una fotografía en la que se observa que, en la recepción del hotel, está visible, y en los idiomas español, inglés y alemán, la información sobre los tratamientos de datos de recogida de datos personales de los viajeros y de videovigilancia. La información que se aporta respecto del tratamiento de recogida de datos de los viajeros es la información del responsable del tratamiento de datos, los datos de contacto del delegado de protección de datos, la finalidad del tratamiento, la legitimación, la regulación que les obliga a ceder información a las Fuerzas y Cuerpos de Seguridad del Estado, el plazo de conservación y la forma de ejercer los derechos a través del correo electrónico rgpd@grupohd.com, y la posibilidad de presentar reclamación ante la AEPD. Durante estas actuaciones de investigación no se ha podido constatar si esta información ya estaba expuesta en la recepción del hotel entre el 2 y el 10 de enero de 2022, momento en que la parte reclamante estuvo alojado en el hotel. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 3. La información sobre la legitimación y finalidad del tratamiento no es la misma la que aparece en la fotografía de la recepción del hotel que la que aparece en la información de primera capa del formulario que se envió a la parte reclamante en enero de 2022, en la que se indica que “Finalidad: Gestión de las reservas. Mandarle comunicaciones comerciales. Legitimación: Ejecución de un Contrato y por Consentimiento del interesado.” 4. En el formulario enviado a la parte reclamante en enero de 2022, falta la información de segunda capa. YUDAYA indica que esta información de segunda capa no se facilitó a la parte reclamante en su debido momento debido a que, a la llegada de la parte reclamante, el personal de recepción no estaba trabajando y le recibió el personal de seguridad, además de que, en el formulario que le enviaron posteriormente no aparecía la información de segunda capa debido a un problema en el sistema informático. 5. En el formulario enviado a la parte reclamante en enero de 2022, además de los datos personales que obliga a recoger la Orden INT 1922/2003, aparecen los siguientes datos de la parte reclamante: domicilio, código postal, población, e-mail y teléfono. 6. En los correos electrónicos aportados por la parte reclamante de fechas entre el día 11 de enero de 2022 y el 8 de febrero de 2022, no se observa ninguna contestación al ejercicio de derecho de la parte reclamante. YUDAYA aporta una declaración jurada de la recepcionista del hotel en la que declara que, en el mes de febrero de 2022, se facilitó al interesado, de forma oral, la información sobre cuál era la finalidad con la que se recogieron sus datos (“la necesidad de tratar los datos personales necesarios para rellenar el libro registro que se presenta en su caso para las fuerzas y cuerpos de seguridad del Estado”). 7. YUDAYA aporta impresión de correo electrónico enviado a la parte reclamante el 27 de octubre de 2022 en el que se le aporta la siguiente información: explicación del motivo por el que se recabaron sus datos, información del responsable del tratamiento, datos de contacto del delegado de protección de datos, finalidad del tratamiento, base jurídica, la no realización de transferencias internacionales de datos, la forma de ejercer los derechos de protección de datos por vía postal o por vía de correo electrónico a rgpd@grupohd.com, y la posibilidad de interponer reclamación ante la AEPD. SÉPTIMO: Con fecha 2 de junio de 2023, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 2 de junio de 2023 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones previas de investigación quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que YUDAYA realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: Núm. de documento de identidad, tipo de documento, fecha expedición del documento, primer apellido, segundo apellido, nombre, sexo, fecha de nacimiento, país de nacionalidad y fecha de entrada en sus instalaciones, entre otros tratamientos. YUDAYA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, YUDAYA tiene su establecimiento único en España, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Dentro de los principios del tratamiento previstos en el artículo 13 del RGPD regula la “información que deberá facilitarse cuando los datos personales se obtengan del interesado” y en el artículo 15 del RGPD regula el “derecho de acceso del interesado”. III Información que deberá facilitarse cuando los datos personales se obtengan del interesado El Artículo 13, “Información que deberá facilitarse cuando los datos personales se obtengan del interesado”, del RGPD establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  2. b)los datos de contacto del delegado de protección de datos, en su caso;
  3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  10. d)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20
  11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  12. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.”. En el presente caso, no consta que YUDAYA haya facilitado a la parte reclamante la información a la que obliga el artículo 13 del RGPD en el momento en el que se obtuvieron sus datos. El 2 de enero de 2022 la parte reclamante se registró en el hotel HD Acuario Lifestyle, sin que por parte del personal del hotel que le atendió pusiera a su disposición la información a que está obligada YUDAYA como responsable del tratamiento de los datos de sus clientes. El principio de transparencia exige que toda información dirigida al público o al interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo (Considerando 58 del RGPD), y debe proporcionarse en el momento en el que se obtienen los datos. El hecho de que el registro del hotel se hiciera fuera del horario en el que se presta este servicio no es obstáculo para que la parte reclamante hubiera sido debidamente informada del tratamiento en cuestión. El incumplimiento a la obligación de información a la parte reclamante dispuesta en el artículo 13 del RGPD no puede atribuirse a la necesidad de cumplir con la obligación regulada en la Orden INT 1922/2003, cuyo artículo cuatro establece que la información contenida en las hojas-registro deberá ser comunicado dentro de las veinticuatro horas siguientes al comienzo del alojamiento de cada viajero. En consecuencia, el tratamiento de los datos personales de la parte reclamante relativo al cumplimiento de la obligación legal establecida en el artículo 25.1 de la Ley Orgánica 4/2015, de 30 de marzo, cuyo desarrollo reglamentario en el momento de los hechos se encontraba en la Orden INT 1922/2003, pudo haberse realizado por el personal del alojamiento perteneciente a YUDAYA de una forma más adecuada en un momento posterior a su entrada, proporcionándole la información pertinente en materia de protección de datos, dentro del citado plazo de 24 horas desde el comienzo de la estancia en el alojamiento. En la contestación al requerimiento de información formulado por esta Agencia, YUDAYA refiere que en la recepción del hotel existen carteles informativos con la información básica en materia de protección de datos de las actividades de tratamiento relativas a la gestión de la estancia en el hotel, al cumplimiento de las obligaciones del libro-registro a disposición de las Fuerza y Cuerpos de Seguridad del Estado y de las actividades de videovigilancia. Sin embargo, cabe señalar que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 1.- Estos carteles no fueron vistos por la parte reclamante ni el personal que le atendió pareció indicar su existencia. 2.- En ninguno de los correos intercambiados con el personal del establecimiento hotelero propiedad de YUDAYA en los que la parte reclamante se queja sobre la falta de información en el momento del registro en el hotel se menciona estos carteles. 3.- No se prueba de ninguna forma que estos carteles informativos estuvieran expuestos durante la estancia de la parte reclamante en el hotel (entre el 2 y el 10 de enero de 2022). Por otra parte, tampoco se informó a la parte reclamante del plazo de conservación de los datos personales de su documento de identidad, tal y como exige el artículo 13.2.
  13. a)del RGPD, si se digitalizó guardando o no una copia de este, o se extrajeron por medio de reconocimiento de caracteres (OCR) los datos requeridos para cumplimentar la hoja-registro. La propia YUDAYA en su contestación no aclara este punto, exponiendo lo siguiente: “No obstante… el huésped llegó en las horas en las que el servicio de recepción no se presta, y se atiende el check in y el check out excepcionalmente por el personal de seguridad del establecimiento (security team), que no tienen acceso a todos los sistemas informáticos”. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a YUDAYA, por vulneración del artículo 13 del RGPD. IV Tipificación y calificación de la infracción del artículo 13 del RGPD De confirmarse, la citada infracción del artículo13 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  14. b)los derechos de los interesados a tenor de los artículos 12 a 22; “ A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  15. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 V Propuesta de sanción por la infracción del artículo 13 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): La actividad empresarial de hostelería que desarrolla YUDAYA requiere un tratamiento continuo de los datos personales de sus clientes. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar inicialmente una sanción de 10.000 € (diez mil euros). VI Derecho de acceso del interesado El Artículo 15, “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  16. a)los fines del tratamiento;
  17. b)las categorías de datos personales de que se trate;
  18. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
  19. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  20. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  21. f)el derecho a presentar una reclamación ante una autoridad de control;
  22. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  23. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 2.Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3.El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4.El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros. En el presente caso, consta en el expediente que, con fecha 10 de enero de 2022, la parte reclamante ejerció el derecho de acceso a sus datos personales a través de un correo electrónico enviado a “Acuario hdhotels” (nombre del establecimiento propiedad de YUDAYA), concretamente, solicitando la información relativa al tratamiento al escaneo de su documento de identidad, tal y como señala en la reclamación interpuesta (traducción no oficial): “Me puse en contacto con el hotel para confirmar por qué escanearon mi DNI sin cumplir con la obligación del información del RGPD”. El día 11 de enero de 2022, la parte reclamante intercambia varios correos con empleados del alojamiento de YUDAYA en los que insiste en que se atienda el ejercicio del derecho de acceso a la información en materia de protección de datos de la digitalización del escaneo de su documento de identidad; se dice en uno de los correos (traducción no oficial) : “Debería haber sido informado de cómo se tratan nuestros datos personales y quién lo hace”, sin que su petición sea atendida, ya que, si bien es enviado por el personal del hotel el documento de registro con la información básica en materia de protección de datos, este documento carece de su reverso, donde debía constar la información de forma ampliada, circunstancia que fue comunicada por la parte reclamante el mismo día 11 de enero de 2022. Por otra parte, la información básica enviada por YUDAYA el 11 de enero de 2022 a la parte reclamante, en contestación a su solicitud de ejercicio del derecho de acceso, es incorrecta. Respecto a la finalidad del tratamiento se dice: “Finalidad: Gestión de las reservas. Mandarle comunicaciones comerciales”, no se recoge como finalidad del tratamiento el cumplimiento de lo dispuesto en la Orden INT 1922/2003. Aunque no forma parte del contenido del derecho de acceso, la información relativa a la base jurídica del tratamiento que consta en el documento enviado a la parte reclamante también es incorrecta: “Legitimación: Ejecución de un Contrato y por Consentimiento del interesado.”, cuando la legitimación para obtener los datos personales del interesado respecto a la obligación que impone la Orden INT 1922/2003 se basa en el cumplimiento de una obligación legal aplicable al responsable del tratamiento. Con posterioridad al 11 de enero de 2022, la parte reclamante envía varios correos electrónicos al personal de YUDAYA, requiriendo que su solicitud de ejercicio del derecho de acceso sea atendida. A modo de ejemplo, en el correo de 19 de enero de 2022, reitera su solicitud (traducción no oficial): “Estoy esperando respuesta oficial sobre cómo se están procesando los escaneos de nuestros documentos de identidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 y por qué no se nos ofreció el formulario GDPR que hay que firmar para saber cómo se tratarán estos datos y por quién”. El último de estos correos es de fecha 8 de febrero de 2022, sin que el ejercicio del derecho de acceso fuese debidamente atendido por YUDAYA hasta el 27 de octubre de 2022. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a YUDAYA, por vulneración del artículo 15 del RGPD. VII Tipificación y calificación de la infracción del artículo 15 del RGPD De confirmarse, la citada infracción del artículo15 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  24. b)los derechos de los interesados a tenor de los artículos 12 a 22; ” A efectos del plazo de prescripción, el artículo 72, “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  25. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” VIII Propuesta de sanción por la infracción del artículo 15 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): La actividad empresarial de hostelería que desarrolla YUDAYA requiere un tratamiento continuo de los datos personales de sus clientes. El balance de las circunstancias contempladas en el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite fijar inicialmente una sanción de 10.000 € (diez mil euros). IX Imposición de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, sin perjuicio de acuerdo con lo establecido en el citado artículo 58.2
  26. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa/ dirigir un apercibimiento, según lo dispuesto en el art. 83.2 del RGPD. Asimismo, las medidas que pudieran adoptarse en la resolución que ponga fin al procedimiento, en relación con la información proporcionada a los interesados, se aplicarían en todos los países de la Unión Europea en los que opere YUDAYA. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a YUDAYA, S.L. con NIF B35137538: - Por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. Por la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor a D.D.D. y, como secretario, a E.E.E., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas la sanción que pudiera corresponder sería de: - Por la supuesta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 10.000 euros. - Por la supuesta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 10.000 euros. QUINTO: NOTIFICAR el presente acuerdo de inicio de procedimiento sancionador a YUDAYA, S.L. con NIF B35137538, a los efectos previstos en los artículos 64 y 75 de la LOPDGDD, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  28. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). Conforme dispone el artículo 85 de la LPACAP, iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 16.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 12.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (16.000 euros o 12.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de LPACAP, se advierte que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica por comparecencia en la sede electrónica del Punto de Acceso General de la Administración o a través de la Dirección Electrónica Habilitada única y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 14 de julio de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 PRIMERO: DECLARAR la terminación del procedimiento EXP202202414, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a YUDAYA S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  29. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.