1/4 Procedimiento Nº PS/00176/2017 RESOLUCIÓN: R/02262/2017 En el procedimiento sancionador PS/176/2017, instruido por la Agencia Española de Protección de Datos a la entidad DKV SEGUROS SA. (DKV), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 08/02/17, la Agencia Española de Protección de Datos requirió a la entidad DKV que aportara documentación relacionada con determinadas investigaciones en curso llevadas a cabo por la Subdirección General de Inspección de Datos, en relación al expediente E/06174/2016 y en los siguientes términos: “En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar los términos de una denuncia presentada ante esta Agencia y en uso de las facultades conferidas por el artículo 40 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, les solicito que en el plazo de diez días hábiles nos hagan llegar la siguiente información relativa a D. A.A.A., NIF- ***NIF.1, en relación con la tratamiento de datos personales. Así mismo, les informo de que, de acuerdo con lo establecido por el artículo 44.3.i de la Ley Orgánica 15/1999, puede ser constitutivo de infracción GRAVE el no atender los requerimientos de la Agencia Española de Protección de Datos en el ejercicio de las competencias que tiene legalmente atribuidas o no proporcionar a aquella cuantos documentos o informaciones sean solicitados, siendo en tal caso aplicable el régimen sancionador previsto en su artículo 45.” SEGUNDO: Consta que, con fecha 13/02/17, dicho requerimiento de información resultó fehacientemente notificado a la entidad DKV, según acredita el acuse de recibo emitido por el Servicio de Correos, en el que consta identificada con nombre y número de DNI, la persona que recogió el requerimiento. TERCERO: Con fecha 26/04/17, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad DKV, por presunta infracción del artículo 37.1.
- i)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, LOPD, tipificada como grave en el artículo 44.3.i de la citada Ley, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: El acuerdo de inicio fue notificado a la entidad DKV el 03/05/17, y esta entidad, mediante escrito de fecha 17/05/17, formuló las siguientes alegaciones: “Que DKV tiene conocimiento del contenido del procedimiento sancionador una vez remitida la información solicitada, el 04/05/17, una vez verificado la misma. No fue la comunicación del expediente sancionador lo que motivó la contestación del requerimiento. La documentación fue recopilada, comprobada y remitida a la Inspección. Lo único que se podría reprochar es no haber advertido de la demora en la remisión de la documentación. Conducta que no sería merecedora de sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 Que atendiendo al artículo 45 de la LOPD, la infracción que se le imputa no puede ser considerado de carácter continuado; tampoco hubo apercibimiento o recordatorio por parte de la AEPD y el importe no se puede considerar como proporcional a la gravedad de la situación ni al daño causado, ni a la intencionalidad”. QUINTO: Con fecha 05/06/17, se inició el período de práctica de pruebas, acordándose las siguientes: a).- Dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por la entidad denunciada. SEXTO: Con fecha 12/06/17, fue notificada Propuesta de Resolución en el sentido de que por parte de la Directora de la Agencia Española de Protección de Datos se sancionara a la entidad DKV, por infracción del artículo 37.1.i), de la LOPD, tipificada como grave en el artículo 44.3.
- i)de dicha norma, con multa de 40.001 euros. SÉPTIMO: La entidad denunciada, mediante escrito de fecha 07/07/17, formuló las siguientes alegaciones a la propuesta de resolución: “Se tengan por reiteradas las manifestaciones efectuadas en el escrito de fecha 17/05/17 con relación al expediente de referencia, declarando que DKV no ha incurrido en ninguna actividad o conducta que pueda ser objeto de sanción y que se proceda al archivo del presente procedimiento. Que en defecto de lo anterior se apliquen los atenuantes en la consideración de que la sanción propuesta es desproporcionada con relación a los hechos expuestos sustituyendo la sanción por un apercibimiento”. HECHOS PROBADOS UNICO: La entidad DKV, no atendió el requerimiento de información efectuado el 08/02/17 por la Agencia Española de Protección de Datos, en el marco de las actuaciones previas E/6174/2016, llevadas a cabo por la Subdirección General de Inspección de Datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La LPACAP dispone, en su artículo 64 que: (…) 2. El acuerdo de iniciación deberá contener al menos: (…)
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 III El artículo 37.1.i de la LOPD establece, entre las funciones de la Agencia Española de Protección de Datos:<< Recabar de los responsables de los ficheros cuanta ayuda e información estime necesaria para el desempeño de sus funciones>>. El artículo 44.3.
- i)de la LOPD tipificada como infracción grave “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma” pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente caso se acredita que la entidad DKV realizó la conducta típica por cuanto no proporcionó a la Agencia la información que le fue requerida y que consta en los antecedentes y hechos probados de la presente resolución. IV En el presente caso no se aprecia la existencia de ninguno de los supuestos que permitan la aplicación de lo dispuesto en el artículo 44.5 de la LOPD. En cuanto a la aplicación del artículo 45.4 de la LOPD en atención a la graduación de la sanción debe considerarse las siguientes circunstancias modificativas de la conducta: Como circunstancias agravantes de la conducta, se deben considerar: • La vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. • Por el volumen de negocio (apartado 4.d), toda vez que estamos ante una importante entidad financiera. Como circunstancias atenuantes de la conducta, se deben considerar: • Los beneficios obtenidos como consecuencia de la comisión de la infracción (apartado
- e)que no se han producido. • La reincidencia por comisión de infracciones de la misma naturaleza (apartado
- g)pues la entidad no ha sido sancionada con anterioridad por infracción del artículo 44.3.
- i)de la LOPD. Conforme a los criterios de graduación de la cuantía de las infracciones señalados anteriormente y vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DKV, una multa de 40.001 (cuarenta y un mil euros), por la infracción del artículo 37.1.
- i)de la LOPD, de conformidad con lo establecido en el artículo 45.2) y 4) de la citada Ley. SEGUNDO: NOTIFICAR la presente resolución a DKV SEGUROS SA. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es