← España

PS-00183-2022

1/20  Expediente N.º: PS/00183/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 8 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CAIXABANK S.A. con NIF A08663619 (en adelante, la parte reclamada o CaixaBank). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es cliente de la parte reclamada, y que con fecha 8 de octubre de 2017 actualizó sus datos de domicilio a través de su acceso online, pero en el año 2020 comprueba que existen documentos en los que consta su antigua dirección, señala que su única dirección actual es ***DIRECCIÓN.1. Pues bien, solicitó rectificación de su dirección postal el 10 de julio y el 28 de septiembre del año 2020 a través de su espacio Mi Gestor de Caixabank.es, sin respuesta por la parte reclamada. Posteriormente, el 14 de octubre de 2020, con número de registro 8-724587XXXX solicitó rectificación de su dirección postal a través de servicio.cliente@caixabank.com. Con fecha 30 de octubre de 2020, la parte reclamada solicitó información adicional al reclamante para poder realizar la gestión oportuna. Asimismo, el 6 de noviembre de 2020 el reclamante recibe respuesta con número de referencia reclamación 8-726689XXXX, en la cual le informan de que remitirán su petición al departamento especializado correspondiente. A fecha de 8 de febrero de 2021, el reclamante manifiesta que su dirección todavía no se ha rectificado. Documentación relevante aportada por la parte reclamante: - Proporciona una captura de pantalla de CaixabankNow donde consta un recibo de un préstamo a nombre del reclamante con número de préstamo ***CONTRATO.1, fechado a 31 de enero 2021 y dirigido a la antigua dirección postal en ***DIRECCIÓN.2. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 9 de marzo de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 9 de abril de 2021 se recibe en esta Agencia escrito de respuesta indicando que, en relación con el ejercicio del derecho de rectificación, se envió al reclamante una nueva carta informando de los canales a través de los cuales puede ejercer su solicitud. Aporta copia de escrito dirigido al reclamante a su correo electrónico con fecha 06/11/2020 donde consta la referencia 8-72668XXXXX la manifestación de que “[…]se remitirá su petición al departamento especializado correspondiente […]”. Aporta copia de escrito dirigido al reclamante a la dirección postal ***DIRECCIÓN.1 y fechado a 05/11/2020 donde se manifiesta que tras su solicitud de fecha 31/10/2020 se le informa de los canales habilitados para la modificación de sus datos, que son a través del canal online CaixaBank Now o bien presencialmente. Copia de justificante de Devuelto/Sobrante por el servicio de Correos en fecha 07/12/2020 relativo al envío de una carta certificada dirigida al reclamante a su dirección postal en ***DIRECCIÓN.1. Consta asimismo en dicho justificante en letra manuscrita que en fecha 01/12/2020 el destinatario se encontraba ausente. Aporta copia de escrito dirigido al reclamante a la dirección postal ***DIRECCIÓN.1 y fechado a 09/04/2021 donde se manifiesta que tras su solicitud de fecha 31/10/2020 se le informa de los canales habilitados para la modificación de sus datos, que son a través del canal online CaixaBank Now o bien presencialmente. TERCERO: Con fecha 22 de abril de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 13/10/2021 el reclamado remite a esta Agencia respuesta al requerimiento. Sin embargo, se aporta un Anexo con nombre “E046742021_Anexos.pdf” con extensión .pdf que es ilegible por cualquier lector convencional de ficheros pdf. Tras serle requerido en sucesivas ocasiones (10/03/2022 y 15/03/2022), con fecha 16/03/2022, el reclamado presenta la documentación correctamente visualizable: 1. Que el domicilio del reclamante para todos sus contratos es ***DIRECCIÓN.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 Aporta capturas de pantalla con 4 contratos a nombre del reclamante donde consta, en todos los contratos, la misma mencionada dirección postal en el campo “Destino de correspondencia”. 2. El reclamante ha mantenido contacto con la Entidad a través del Servicio de Atención al Cliente de CaixaBank y del servicio de ejercicio de derechos en materia de protección de datos. Que la única reclamación relacionada con ejercicio de derechos en la 8-72668XXXXX. Que en esta reclamación el reclamante solicita la rectificación de su domicilio fiscal mediante correo de fecha 30/10/2020. Que el servicio de atención al cliente remite comunicación al reclamante señalando que la reclamación se gestionará por el equipo especializado. Que una vez derivada internamente la reclamación, se identifica con el ID (…) en el servicio de ejercicio de derechos en materia de protección de datos. Que en relación a este ID (…), se remite carta de respuesta en fecha 05/11/2020 al domicilio postal del reclamante, ya aportada anteriormente por el reclamado. Se aporta un listado con varios contactos entre el reclamante y el reclamado donde, entre otros, consta: En el servicio de Atención al Cliente: Número SR Fecha recepción Motivo Tipo Resolución 8-724587XXX 14/10/2020 Comisión y Gasto Cancelación/ Venta y Amortización A favor del Cliente 8-72668XXXX 02/11/2020 GDPR Peticiones Derivada a ejercicio.derechos@caixabank.com Se aporta copia de correo electrónico fechado a 04/11/2020 remitido reclamaciones.traslado.colaborador@caixabank.com y enviado a “EJERCICIO DE DERECHOS” donde consta una nota que manifiesta que a través de correo electrónico de fecha 31/10/2020 enviado por el reclamante a servicio.cliente@caixabank.com y donde se solicita el cambio de su dirección postal de ***DIRECCIÓN.2 POR ***DIRECCIÓN.1. Se aporta escrito dirigido al reclamante y fechado a 06/11/2020 ya aportado anteriormente por el reclamado. 3. Aporta un listado con varias solicitudes del servicio de ejercicio de derechos en materia de protección de datos entre las que se encuentran la ID (…) mencionada con anterioridad y además: a. Que relativo a la solicitud ID 588316 del servicio de derechos en materia de protección de datos se registra solicitud del reclamante en fecha 21/04/2021 en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 relación con la cancelación de datos. Que en fecha 23/04/2021 se procede a dar respuesta. Se aporta copia de respuesta fechada a 23/04/2021 dirigida al reclamante a la dirección postal ***DIRECCIÓN.1. b. Que relativo a la solicitud ID (…) del servicio de derechos en materia de protección de datos se registra solicitud del reclamante en fecha 21/04/2021 en relación con la rectificación de datos. Que en fecha 23/04/2021 se procede a dar respuesta. Se aporta copia de respuesta fechada a 23/04/2021 dirigida al reclamante a la dirección postal ***DIRECCIÓN.1. 4. En relación a los cambios efectuados a los datos de correspondencia del reclamante, se aporta un histórico de cambios donde consta exclusivamente la fecha del cambio, una descripción genérica del movimiento, oficina y usuario. No se aporta información sobre el detalle del cambio producido en los datos del reclamante. Con fecha 01/04/2022, el reclamado presenta parcialmente la documentación adicional requerida. 1. El reclamado manifiesta que no existen comunicaciones entre el reclamante y la Entidad a través del canal Mi Gestor entre las fechas 01/07/2020 y 30/09/2020. Aporta captura de pantalla de unas búsquedas en el canal Mi Gestor del reclamante donde consta que se realiza dos búsquedas, una para documentos favoritos y otra para mensajes en el rango temporal desde la fecha 01/07/2020 hasta la fecha 22/03/2022 (documentos) y 24/03/2022 (mensajes). Constan cero resultados en ambas búsquedas. 2. Que la dirección postal ***DIRECCIÓN.2 fue facilitada por el reclamante en el contrato ***CONTRATO.2 el cual consta cancelado. Que la dirección ***DIRECCIÓN.1 fue facilitada por el reclamante en el resto de sus contratos. Aporta captura de pantalla con el contrato cancelado ***CONTRATO.2 y, asociada a éste, la antigua dirección postal, así como los contratos ***CONTRATO.3, ***CONTRATO.1, ***CONTRATO.4, ***CONTRATO.5, y asociada a éstos, la nueva dirección postal en ***DIRECCIÓN.1. No se aporta la información requerida en relación a cómo y cuándo se han producido los cambios de dirección postal del reclamante a la dirección ***DIRECCIÓN.1. CONCLUSIONES En relación a las solicitudes de rectificación por parte del reclamante y las respuestas por parte de la reclamada: 1. No constan, con la información aportada por la parte reclamada, comunicaciones a través del canal Mi Gestor. 2. Consta una respuesta por parte de la reclamada con fecha 05/11/2020 tras solicitud por parte del reclamante de fecha 31/10/2020. En dicha respuesta exclusivamente se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 explican los canales habilitados para el ejercicio de derechos. Dicha respuesta consta enviada pero no entregada por encontrarse el reclamante ausente en su domicilio. En relación al origen de las distintas direcciones postales y a su efectiva rectificación: 3. En las evidencias aportadas por el reclamante, consta con fecha 31/01/2021 la dirección ***DIRECCIÓN.2 asociada al contrato ***CONTRATO.1, contrato que, en las evidencias aportadas por el reclamado a fecha 13/10/2021, está asociado a la dirección ***DIRECCIÓN.1. 4. En relación a la dirección postal del reclamante en ***DIRECCIÓN.1, dirección a la cual éste solicitó la rectificación, la reclamada no aporta la información solicitada en relación a cómo y cuándo se han producido los cambios a esa dirección postal ni el motivo de dicho cambio. La reclamada tampoco aporta información en relación a que se haya producido una modificación a esta dirección en ningún momento. Sin embargo, esta dirección consta utilizada por la reclamada en algunas comunicaciones dirigidas al reclamante en noviembre y diciembre de 2020 y en abril de 2021. 5. En relación a la dirección postal del reclamante en ***DIRECCIÓN.1 la reclamada no aporta la información solicitada en relación al cómo y al cuándo se han producido los cambios a esa dirección postal. Sí manifiesta que el origen de esa dirección son contratos del reclamante y que la dirección fue proporcionada por éste, pero no se aportan evidencias al respecto más allá de la mera asociación de esta dirección a dichos contratos, según se extrae de captura de pantalla de los sistemas de la parte reclamada. CUARTO: Con fecha 20 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 16 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el acuerdo de inicio, la reclamada, mediante escritos presentados el 6 de mayo y 3 de junio de 2022, solicita que, de conformidad con el artículo 32.1 de la citada LPACAP, se amplíe en cinco días el plazo inicialmente otorgado para formular alegaciones conforme al artículo 53.1.

  1. a)de la LPACAP, y se le facilite una copia de los documentos que integran el expediente administrativo. Se acuerda ampliar el plazo para formular alegaciones por el máximo permitido legalmente y remitir a la reclamada la copia del expediente electrónico. SEXTO: En fecha 13 de mayo de 2022 la reclamada presenta sus alegaciones al acuerdo de apertura del procedimiento sancionador en las que solicita que se declare la nulidad de pleno Derecho del procedimiento por los motivos que detalla en la alegación primera de su escrito. Subsidiariamente, solicita que se acuerde el archivo del procedimiento por inexistencia de infracción de la normativa de protección de datos de personales. Y, con carácter subsidiario respecto a las anteriores pretensiones, que se acuerde apercibir a la reclamada (artículo 58.2.
  2. b)RGPD. En defensa de sus respectivas pretensiones aduce los argumentos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 <<Primera. - de la indefensión producida a mi mandante como consecuencia de la fijación del importe de la sanción en el acuerdo de inicio que, a nuestro juicio, viciaría de nulidad el mismo. En efecto, los apartados primero y cuarto de la parte dispositiva del Acuerdo de Inicio del presente procedimiento sancionador señalan textualmente que la se vienen a determinar los criterios a tener en cuenta para graduar el importe de la sanción que, a juicio del Órgano Sancionador, procede imponer en este caso “sin perjuicio de lo que resulte de la instrucción”, pronunciándose en los siguientes términos: “De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer al reclamado como responsable de una infracción tipificada en el artículo 83.5.
  3. b)del RGPD, en una valoración inicial, se estiman concurrentes en el presente caso, en calidad de agravantes, los siguientes factores: - La evidente vinculación del responsable con el tratamiento de datos. (art.83.2.
  4. k)del RGPD en relación con el art. 76.2 b de la LOPDGDD). - El tiempo desde que solicitó la parte reclamante la rectificación hasta que se llevó a cabo (art. 83.2
  5. a)del RGPD).” De este modo, el Órgano Sancionador viene a determinar en el acto que supone el inicio de la tramitación del procedimiento sancionador cuál es el reproche sancionador que, a su juicio, procede imponer a mi mandante, evaluando incluso las atenuantes y agravantes concurrentes en el caso, pese a que Caixabank no ha tenido ocasión en ningún momento de poner de manifiesto ante el citado órgano cuáles pudieran ser las circunstancias que podrían resultar aplicables en el presente caso, dado que, obviamente, no podía tener conocimiento de la apertura del procedimiento hasta que le ha sido notificado el acuerdo en que se aprecian unilateralmente por el Órgano Sancionador las mencionadas circunstancias. Todo ello supone, a juicio de esta Entidad, una conducta que afecta sensiblemente a la aplicación de los principios fundamentales del derecho penal que, con ciertas especificaciones, son aplicables al procedimiento administrativo sancionador, tal y como ha puesto de manifiesto reiterada jurisprudencia de nuestro Tribunal Constitucional. En resumen, en este procedimiento el propio Órgano Sancionador hace en el Acuerdo de Inicio una valoración (anticipada y carente de motivación alguna), de la responsabilidad de esta Entidad, indicando incluso, aunque sea únicamente por su mera mención, las agravantes concurrentes en el caso, aun cuando formalmente pretenda dejarse a salvo lo que proceda finalmente en función de la instrucción. Pues bien, de lo antedicho sólo cabe extraer la conclusión de que, dicho sea con el mayor de los respetos, queda afectada seriamente la legalidad de la actuación administrativa, toda vez que se valora in audita parte el grado de culpabilidad de la Entidad en la supuesta comisión de la conducta infractora, sin que por aquél haya podido en ningún momento llevarse a cabo alegación alguna que permita al Órgano Sancionador valorar, siquiera mínimamente, las circunstancias concurrentes en el caso a la luz de dichas alegaciones. Todo ello conduce a la generación de una absoluta y total indefensión a esta parte, que en ningún momento puede hacer uso de su derecho para poder poner de manifiesto lo inexacto de la valoración llevada a cabo por el Órgano Sancionador al determinar a limine la cuantía de la sanción que “pudiera corresponder” por la, aún, presunta vulneración del artículo 6.1 en relación con el 5.1.
  6. a)ambos del RGPD, dado que aún no era parte en el procedimiento, por la sencilla razón de que la sanción se fija en el acto por el que se inicia el mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 Pues bien, el hecho de que el Órgano Sancionador establezca en el acuerdo de inicio el importe de la sanción que, a su juicio, procede imponer a esta Entidad, afecta sustancialmente a la imparcialidad de la actuación del Órgano Instructor, que es conocedor, antes de iniciar la tramitación del procedimiento, de cuál es el criterio del Órgano al que finalmente elevará el expediente para la imposición de la sanción que “pudiera corresponder”, en lo que respecta al importe de la misma y las circunstancias modificativas de la responsabilidad que han de tenerse en cuenta en su determinación. Se ve así afectado sustancialmente al ámbito de actuación del órgano competente para la instrucción. Por otra parte, no se ignora la invocación que el Acuerdo de Inicio hace del artículo 85 de la LPACAP. Sin embargo, a juicio de esta parte, las reglas establecidas en el artículo 85 no resultan aplicables en el presente caso, toda vez que dicha norma resulta de aplicación a los supuestos en que la norma sancionadora impone una multa de carácter fijo y objetivo por la comisión de una infracción, de forma que solo corresponda al encartado debatir la efectiva concurrencia de la conducta típica. En consideración a lo anterior, esta parte entiende que existe un vicio radical en la tramitación de este expediente sancionador que incide en la nulidad del procedimiento, en tanto que la fase de instrucción ha quedado contaminada por la actuación del Órgano Sancionador que, al valorar el importe de la sanción que procede imponer, ha comprometido la imparcialidad del Instructor, del que es superior jerárquico, al haber evaluado las causas de agravación de la responsabilidad a su juicio concurrentes en el caso y ha cuantificado cuál ha de ser, en su opinión, el reproche sancionador que debe imponerse a esta parte. La consecuencia de todo lo indicado es que existe un vicio radical en la tramitación de este expediente sancionador, derivado de una interpretación contraria a la Constitución de los artículos 64 y 85 de la LPACAP, que incide en la nulidad del procedimiento, al haberse vulnerado los derechos fundamentales de mi mandante, tal y como establece el artículo 47.1
  7. a)de la LPACAP. Segunda. - Actuaciones y hechos objeto del expediente. Los derechos de rectificación ejercicios por el reclamante, han sido oportunamente atendidos por CaixaBank, cómo ya fue acreditado en la respuesta al requerimiento de información que origina el presente Acuerdo de Inicio.  En fecha 04/11/2020 se recibió en el buzón ejercicio.de.derechos@caixabank.com una solicitud de rectificación a través del Servicio de Atención al Cliente de CaixaBank (DOCUMENTO NUMERO DOS)  Se identificó internamente con el número de solicitud 459887  Se remitió carta de respuesta en fecha 5 de noviembre de 2020 (DOCUMENTO NÚMERO TRES)  El envío se remitió al domicilio que justamente el reclamante reivindica como domicilio de notificaciones (***DOMICILIO.1) y fue devuelto (DOCUMENTO NÚMERO 4) En relación al derecho de rectificación realizado en fecha 21 de abril de 2021: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20  En fecha 21 de abril de 2021 se recibió por el portal de ejercicio de derechos una solicitud de rectificación de datos  Se identificó internamente con el número de solicitud 588319  Se remitió carta de respuesta en fecha 23 de abril de 2021 (DOCUMENTO NUMERO CINCO)  Consta el acuse de recibo del reclamante en fecha 30 de abril de 2021 (DOCUMENTO NUMERO SEIS) Cúmplenos manifestar que tal declaración no se ajusta a la realidad, puesto que consta en nuestros archivos que en fecha 3 de mayo de 2021 el cliente se personó en la oficina 6435- STORE COSO y se procedió al cambio de dirección del contrato. Ello de acuerdo con las indicaciones facilitadas por la Entidad en la respuesta al ejercicio del derecho de rectificación solicitado. A tal efecto, les adjuntamos (DOCUMENTO NUMERO OCHO y DOCUMENTO NUMERO NUEVE, respectivamente) los recibos correspondientes al contrato interesado, de fechas abril 2021 y mayo 2021, donde se puede observar la modificación realizada. En el caso de mi mandante, CAIXABANK pone a su disposición de sus clientes dos entornos reforzados para llevar a cabo la modificación de su domicilio postal: su banca digital (a través de medios electrónicos) y su oficina bancaria (de manera presencial): Como ya hemos indicado, a raíz de la información facilitada por mi mandante, el reclamante acudió a su oficina en fecha 3 de mayo de 2021 y solicitó presencialmente el cambio del domicilio, que se realizó el mismo día. Es por ello que el derecho de rectificación se ejecutó sin dilación indebida, una vez debidamente identificado el solicitante, ello de acuerdo con las obligaciones normativa y procedimiento que les hemos trasladado. En consecuencia, a juicio de mi mandante no concurre en ningún caso una dilación en la gestión y respuesta a los ejercicios de derechos planteados por el reclamante>>. SÉPTIMO: Con fecha 19 de mayo de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/04674/2021. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por CAIXABANK S.A., y la documentación que a ellas acompaña. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 1. El reclamante, cliente de la reclamada, manifiesta que el 8 de octubre de 2017 actualizó sus datos de domicilio a través de su acceso online, pero en el año 2020 comprueba que existen documentos en los que consta su antigua dirección ***DIRECCIÓN.2. 2. Según manifiesta el reclamado solicitó rectificación de su dirección postal el 10 de julio y el 28 de septiembre de 2020 a través de su espacio Mi Gestor de Caixabank.es, sin respuesta por la parte reclamada. 3. En fecha 14 de octubre de 2020, con número de registro 8-724587XXXX solicitó rectificación de su dirección postal a través de servicio.cliente@caixabank.com. Con fecha 30 de octubre de 2020, la parte reclamada solicitó información adicional al reclamante para poder realizar la gestión oportuna. 4. El 6 de noviembre de 2020 el reclamante recibe respuesta con número de referencia reclamación 8-72668XXXXX, en la cual le informan de que remitirán su petición al departamento especializado correspondiente. A fecha de 8 de febrero de 2021, el reclamante manifiesta que su dirección todavía no se ha rectificado. 5. La parte reclamada, proporciona una captura de pantalla de CaixabankNow donde consta un recibo de un préstamo a nombre del reclamante con número de préstamo ***CONTRATO.1, fechado a 31 de enero 2021 y dirigido a su antigua dirección postal en ***DIRECCIÓN.2. 6. Consta con fecha 31 de enero de 2021 la dirección ***DIRECCIÓN.2 asociada al contrato ***CONTRATO.1, contrato que, en las evidencias aportadas por la reclamada a fecha 13/10/2021, está asociado a la dirección ***DIRECCIÓN.1. 7. Consta en el documento 8 aportado por la reclamada de fecha 30 de abril de2021 figura como domicilio postal ***DIRECCIÓN.2 asociada al contrato ***CONTRATO.1, correspondiente al recibo de fecha 30 de abril de 2021. 8. Consta en el documento 9 aportado por la reclamada de fecha 31 de mayo de 2021 figura como domicilio postal C/ ***DIRECCIÓN.1 asociada al contrato ***CONTRATO.1, correspondiente al recibo de fecha 31 de mayo de 2021. OCTAVO: Con fecha 4 de julio de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a CAIXABANK S.A. con NIF A08663619, por una infracción del artículo 16 del RGPD, tipificada en el artículo 83.5.b del RGPD, con multa administrativa de 25.000€ (veinticinco mil euros). En fecha 19 de julio de 2022 la reclamada presentó alegaciones a la propuesta de resolución en las que solicita que se declare la nulidad de pleno Derecho del procedimiento por los motivos que detalla en la alegación primera de su escrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 Subsidiariamente, solicita que se acuerde el archivo del procedimiento por inexistencia de infracción de la normativa de protección de datos de personales. Y, con carácter subsidiario respecto a las anteriores pretensiones, que se acuerde apercibir a la reclamada (artículo 58.2.
  8. b)RGPD. En defensa de sus respectivas pretensiones se reafirma en sus alegaciones al acuerdo de inicio y dan por reproducidos los mismos, señalan que no existe acreditación alguna de la supuesta “dilación” en la respuesta al ejercicio de derechos y, en consecuencia, prueba de cargo alguna que motive una posible sanción a la Entidad. Asimismo, manifiesta que la Propuesta de Resolución recoge los mismos agravantes que se indicaban en el Acuerdo de Inicio, sin estimar ninguna de sus alegaciones, e insiste en los argumentos esgrimidos en el Acuerdo de Inicio, a saber: “estando acreditado que el reclamado no ejerció derecho de rectificación alguno a través del canal “Mi gestor” en 2017, a juicio de mi mandante no existe dilación ninguna entre la solicitud de rectificación y la respuesta facilitada, tal y como ya puede acreditar en los ejercicios de derechos en fecha 4/11/20 y de 21/04/21, respondidos ambos en el plazo de un mes que indica el artículo 12.3 del RGPD. Mi mandante, como responsable del tratamiento de los datos del reclamante, procedió en tiempo y forma a dar respuesta motivada a su ejercicio de derechos, cumpliendo en todo momento la normativa aplicable y facilitando los canales por los que el reclamante podía modificar sus datos. Es más, la modificación de su dato de domicilio fue inmediata en el momento en el que el reclamante, en fecha 3/5/21, acudió a su oficina y solicitó el cambio” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Se examinan con carácter previo las cuestiones que la reclamada ha planteado en sus dos escritos de alegaciones y que son ajenas al fondo del asunto sobre el que versa el procedimiento sancionador que nos ocupa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 En sus alegaciones a la propuesta de resolución la reclamada, además de manifestar que “reitera” íntegramente las alegaciones que hizo frente al acuerdo de apertura del procedimiento, incide de nuevo sobre las cuestiones, ajenas al fondo del asunto, que ya planteó en su primer escrito de alegaciones. Esta Agencia reitera, asimismo, lo que manifestó en la propuesta de resolución en respuesta a los alegatos esgrimidos por la reclamada frente al acuerdo de inicio. A juicio de la reclamada el acuerdo de apertura se encuentra viciado de nulidad por la indefensión que le ha generado el hecho de que la AEPD haya fijado en él el importe de la sanción, en lugar de expresar solo los límites de la posible sanción; porque no se han motivado las agravantes y porque a través del acuerdo de inicio se hace una valoración de la culpabilidad de la reclamada sin que haya tenido ocasión de pronunciase al respecto. Añade también que el acuerdo de inicio excede del contenido previsto en el artículo 68 de la LOPDGDD y que, al haber fijado el órgano decisor el importe de la sanción en el acuerdo de apertura del procedimiento, se ha visto comprometida la imparcialidad del órgano instructor, que conoce así, antes de iniciar el procedimiento, el criterio del órgano al que deberá elevar el expediente, lo que determina en su opinión una “clara ruptura del principio de separación de la fase instructora y de sanción”. Entiende la reclamada que las reglas del artículo 85 de la LPACAP no son aplicables al presente caso sino a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal, según el cual la cuantía de la sanción pecuniaria podrá determinarse “iniciado el procedimiento sancionador”, por lo que, sostiene la entidad, “se estaría asimilando” “el acto mismo de iniciación con el hecho de que el procedimiento se encuentre iniciado”. Los argumentos que esgrime la reclamada no pueden admitirse. El acuerdo de apertura se ajusta a lo previsto en el artículo 68 de la LOPDGDD, conforme al cual bastará con que concrete los hechos que motivan la apertura, se identifique la persona o entidad contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción. En idéntico sentido se expresa el artículo 64.2 de la LPACAP que refiere cuál es el contenido mínimo del acuerdo de iniciación. Según este precepto, entre otros detalles, deberá contener “los hechos que motivan la incoación del procedimiento, su posible calificación jurídica y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. Por ello, en este caso, no solo se cumplen las exigencias mencionadas en los preceptos citados, sino que se va más allá, ofreciendo razonamientos que justifican la posible calificación jurídica de los hechos y se mencionan las circunstancias que pueden influir en la determinación de la sanción. No puede obviarse que el artículo 85 de la LPACAP - que contempla la posibilidad de aplicar reducciones sobre el importe de la sanción para el caso de que el infractor reconozca su responsabilidad y en caso de pago voluntario de la sanción- obliga a determinar esas reducciones en la notificación del acuerdo de iniciación del procedimiento, lo que implica, necesariamente, que deba fijarse en dicho acuerdo el importe de la sanción correspondiente a los hechos imputados. Extremo que justifica sobradamente que se refieran en él las circunstancias modificativas de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 responsabilidad, pues éstas inciden directamente en la determinación de la cuantía de la sanción. En contra de la tesis que defiende la reclamada, el artículo 85 de la LPACAP no prevé tampoco que la cuantía de la sanción se determine una vez iniciado el procedimiento. Más al contrario, es el reconocimiento de la responsabilidad y el pago voluntario de la sanción lo que ha de producirse con posterioridad a ese momento, pero no la fijación de su cuantía. Respecto a que según la cual el artículo 85 LPACAP únicamente podría aplicarse a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal, se ha de indicar que la AEPD viene aplicando el artículo 85 LPACAP de igual forma desde la entrada en vigor de la citada ley sin que la Sala de lo Contencioso Administrativo de la Audiencia Nacional, ante la que cabe recurso contencioso administrativo frente a sus resoluciones, se haya pronunciado nunca en línea con el criterio que esa entidad defiende. No puede tampoco admitirse que haber indicado en el acuerdo de inicio las sanciones que pudiesen corresponder a la reclamada por las infracciones imputadas sea determinante de indefensión o suponga una ruptura del principio de separación de las fases de instrucción y resolución, pues esta Agencia se limita a dar cumplimiento con ello a una de las exigencias previstas en las normas reseñadas. A mayor abundamiento, también los artículos 68 de la LOPDGDD y 64.2 de la LPACAP exigen como contenido del acuerdo de apertura que se fije la sanción que pudiera corresponder. Así pues, la pretendida ruptura “del principio de separación de la fase instructora y de sanción” que aduce la reclamada -extremo que esta Agencia niega- sería, de existir, la consecuencia de la correcta aplicación que esta Agencia viene haciendo de un precepto legal, el artículo 85 de la LPACAP. Sobre lo manifestado por la reclamada de que, habiendo fijado el acuerdo de apertura el importe de la sanción y las circunstancias modificativas de la responsabilidad que podrían apreciarse, ella no ha tenido ocasión de pronunciarse, nos limitamos a señalar que el procedimiento administrativo se inicia precisamente con el acuerdo de apertura y es a partir de entonces -no antes- cuando el artículo 53 de la LPACAP reconoce al interesado una serie de derechos, entre ellos el previsto en el artículo 53.1.e). Por último, por lo que concierne al vicio de nulidad del que, a juicio de la reclamada, adolece el procedimiento como consecuencia de la indefensión que dice haber sufrido cabe indicar lo siguiente: En primer término, la reclamada no especifica en qué apartado del artículo 47.1 de la LPACAP funda la nulidad que invoca. En segundo término, la invocada nulidad del procedimiento en ningún caso podría fundarse en el apartado
  9. a)del artículo 47.1. de la LPACAP, en conexión con la supuesta ruptura de la separación entre la fase instructora y la resolutoria a tenor del artículo 24.2 de la C.E. Esto, porque de acuerdo con las SSTC 74/2004 y 175/2005, el principio consagrado en el artículo 24.2 de la C.E. a tenor del cual quien instruye no resuelve, no es aplicable al procedimiento administrativo, de forma que en este ámbito no estamos ante un derecho con rango constitucional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 Y finalmente, en tercer lugar, para el caso de que se pretenda fundar la nulidad del procedimiento en el motivo recogido en el apartado
  10. e)del artículo 47.1 de la LPACAP parece conveniente traer a colación la STC 78/1999, de 26 de abril, que en su Fundamento Jurídico 2, dice: “Así pues, según reiterada doctrina constitucional que se sintetiza en el fundamento jurídico 3º de la STC 62/1998, "la estimación de un recurso de amparo por la existencia de infracciones de las normas procesales 'no resulta simplemente de la apreciación de la eventual vulneración del derecho por la existencia de un defecto procesal más o menos grave, sino que es necesario acreditar la efectiva concurrencia de un estado de indefensión material o real' (STC 126/1991, fundamento jurídico 5º; STC 290/1993, fundamento jurídico 4º). Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". En atención a lo expuesto, la petición de la reclamada de que se declare la nulidad del procedimiento administrativo sancionador que nos ocupa debe ser rechazada. Para finalizar el capítulo sobre la pretendida nulidad radical del procedimiento que la reclamada aduce en su defensa, cabe añadir las consideraciones siguientes. Una de ellas relativa al derecho fundamental a un juez imparcial garantizado en el artículo 24.2 de la C.E. La reclamada se ha referido en sus dos escritos de alegaciones a que la actuación de la AEPD ha determinado que se haya “visto afectada sustancialmente la imparcialidad del órgano instructor”, razón por la cual aprovechamos para precisar que esta pretendida afectación de la imparcialidad del instructor tampoco tiene encaje en ese derecho fundamental que garantiza el artículo 24.2 de la C.E., por lo que tampoco podría fundar en ella la nulidad del procedimiento al amparo del apartado
  11. a)del artículo 47.1 de la LPACAP. Sobre el derecho a un juez imparcial cabe señalar que, a mayor abundamiento, no es que no resulte trasladable esta garantía al instructor -que es sobre quien la reclamada hace pivotar la tan deseada nulidad del procedimiento- sino que ni siquiera se reconoce este derecho en el marco del procedimiento administrativo. La STC 76/1990, fundamento jurídico 8, no puede ser más clara: “El derecho a [...] y a un proceso con todas las garantías -entre ellas, la independencia e imparcialidad del juzgador- es una garantía característica del proceso judicial que no se extiende al procedimiento administrativo, ya que la estricta imparcialidad e independencia de los órganos del poder judicial no es, por esencia, predicable con igual significado y en la misma medida de los órganos administrativos (SSTC 175/1987 y 22/1990...”. (El subrayado es nuestro) Por último, respecto al contenido mínimo del acuerdo de apertura previsto en el artículo 64 de la LPACAP y a la “manifiesta contradicción” en la que, según la entidad, se habría incurrido al decir que se “va más allá” de ese contenido mínimo, basta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 señalar que el artículo 64.2 indica que “deberá contener al menos”, “
  12. b)[...] las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. De manera que, tal y como se expuso en su momento, el acuerdo de apertura de este procedimiento no sólo cumplió las exigencias del articulo 64.2 LPACAP -fijó los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder- sino que “fue más allá” por cuanto detalló, entre otras cosas, las circunstancias modificativas de la responsabilidad que en esa fase se apreciaron. Con ello, ni se otorga “una suerte de beneficio al administrado” ni se “menoscaban” “los derechos consagrados en el artículo 24 de la Constitución.”, tal y como nos reprocha la reclamada. Comentario que no deja de ser llamativo si tenemos en cuenta que uno de los argumentos esgrimidos por la reclamada en sus alegaciones al acuerdo de apertura fue la deficiente argumentación de las circunstancias modificativas de la responsabilidad expuestas en el citado acuerdo. En definitiva, las garantías reconocidas al encartado en el procedimiento administrativo sancionador y las normas reguladoras del procedimiento se han respetado escrupulosamente. Los extremos mencionados por la reclamada en sus dos escritos de alegaciones no entrañan la vulneración de ningún derecho fundamental reconocido en el artículo 24.2 de la C.E. en el que poder sustentar la concurrencia del motivo de nulidad radical del artículo 47.1.
  13. a)LPACAP. Por cuanto antecede, se rechaza la pretensión de la reclamada de que se declare la nulidad del procedimiento. III El apartado
  14. d)del artículo 5.1. del RGPD determinan en cuanto a los “Principios relativos al tratamiento” que: “Los datos personales serán: (…)
  15. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (<exactitud>)” Por su parte, en cuanto a los “Principios de protección de Datos”, el artículo 4.1 de la LOPDGDD determina: “4. Exactitud de los datos. 1. Conforme al artículo 5.1.
  16. d)del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.” IV El artículo 16 del RGPD, respecto del “Derecho de rectificación” establece que: “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se complementen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 los datos personales que sean incompletos, inclusive mediante una declaración adicional.” A su vez, el artículo 12.4 de la citada LOPDGDD, establece como una de las “Disposiciones generales sobre ejercicio de los derechos” que: “4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable”. Por su parte, el artículo 14 de la LOPDGDD, bajo la rúbrica, “Derecho de rectificación”, dispone que: “Al ejercer el derecho de rectificación reconocido en el artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento.” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  17. b)los derechos de los interesados a tenor de los artículos 12 a 22.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 74.
  18. c)establece que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamente (UE) 2016/679 y, en particular, las siguientes: (…)
  19. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  20. k)de esta ley orgánica.” Y, a estos efectos, obviamente, el hecho de que la parte reclamante solicitara la rectificación varias veces, y la parte reclamada no procediera a realizar dicha rectificación, es por lo que resulta aplicable la excepción establecida. El artículo 72.1k) de la LOPDGDD establece que son infracciones consideradas muy grave “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” V De conformidad con las evidencias de las que se dispone hay que tener en cuenta, la falta de atención al derecho del reclamante de obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se complementen los datos personales que sean incompletos, inclusive mediante una declaración adicional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 En el supuesto aquí analizado, ha quedado acreditado que la parte reclamante ejercitó su derecho de rectificación ante la entidad demandada, su solicitud no obtuvo la respuesta legalmente exigible. Asimismo, tras las evidencias obtenidas, se constata en relación con las solicitudes de rectificación por parte del reclamante y las respuestas por parte de la reclamada: 1. No constan, con la información aportada por la reclamada, comunicaciones a través del canal Mi Gestor. 2. Consta una respuesta por parte de la reclamada con fecha 05/11/2020 tras solicitud por parte del reclamante de fecha 31/10/2020. En dicha respuesta exclusivamente se explican los canales habilitados para el ejercicio de derechos. Dicha respuesta consta enviada pero no entregada por encontrarse el reclamante ausente en su domicilio. En relación al origen de las distintas direcciones postales y a su efectiva rectificación: 3. En las evidencias aportadas por el reclamante, consta con fecha 31/01/2021 la dirección ***DIRECCIÓN.2 asociada al contrato ***CONTRATO.1, contrato que, en las evidencias aportadas por la reclamada a fecha 13/10/2021, está asociado a la dirección ***DIRECCIÓN.1. 4. En relación a la dirección postal del reclamante en ***DIRECCIÓN.1, dirección a la cual éste solicitó la rectificación, el reclamado no aporta la información solicitada en relación a cómo y cuándo se han producido los cambios a esa dirección postal ni el motivo de dicho cambio. La reclamada tampoco aporta información en relación a que se haya producido una modificación a esta dirección en ningún momento. Sin embargo, esta dirección consta utilizada por la reclamada en algunas comunicaciones dirigidas al reclamante en noviembre y diciembre de 2020 y en abril de 2021. 5. En relación a la dirección postal del reclamante en ***DIRECCIÓN.1 la reclamada no aporta la información solicitada en relación al cómo y al cuándo se han producido los cambios a esa dirección postal. Sí manifiesta que el origen de esa dirección son contratos del reclamante y que la dirección fue proporcionada por éste, pero no se aportan evidencias al respecto más allá de la mera asociación de esta dirección a dichos contratos, según se extrae de captura de pantalla de los sistemas de la parte reclamada. En fecha 13 de mayo de 2022 la reclamada presenta sus alegaciones al acuerdo de apertura del presente procedimiento sancionador, manifestando: << Cúmplenos manifestar que tal declaración no se ajusta a la realidad, puesto que consta en nuestros archivos que en fecha 3 de mayo de 2021 el cliente se personó en la oficina 6435- STORE COSO y se procedió al cambio de dirección del contrato. Ello de acuerdo con las indicaciones facilitadas por la Entidad en la respuesta al ejercicio del derecho de rectificación solicitado. A tal efecto, les adjuntamos (DOCUMENTO NUMERO OCHO y DOCUMENTO NUMERO NUEVE, respectivamente) los recibos correspondientes al contrato interesado, de fechas abril 2021 y mayo 2021, donde se puede observar la modificación realizada>>. Pues bien, a lo contrario que manifiesta la parte reclamada, consta en el documento número 8 la antigua dirección postal del reclamante ***DIRECCIÓN.2 asociada al contrato ***CONTRATO.1, correspondiente al recibo de fecha 30 de abril de 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 En definitiva, obran en el expediente evidencias de la falta de atención al derecho de rectificación de datos, por parte de Caixabank. Hay que destacar, que en el recibo de fecha 30 de abril de 2021, aportado por la reclamada, consta todavía la antigua dirección postal y solo en el recibo fecha de 31 de mayo de 2021, es cuando aparece ya la nueva dirección postal del reclamante. La conducta descrita vulnera el artículo 16 del RGPD y es subsumible en el tipo sancionador del artículo 83.5.b, del RGPD. V La reclamada ha solicitado en sus alegaciones que, en sustitución de la multa administrativa prevista en el acuerdo de inicio, esta Agencia le aperciba y, subsidiariamente, reduzca el importe de la sanción de multa fijada en el acuerdo de apertura en 25.000 euros. Sobre la pretensión de que se le dirija un apercibimiento nos remitimos al Considerando 148 del RGPD que dice así: “A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas multas administrativas, con carácter adicional a medidas adecuadas impuestas por la autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante. La imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías.” Resulta patente que no concurren en el supuesto que nos ocupa los elementos que permiten sustituir la sanción de multa administrativa fijada por el artículo 83.5. del RPGD por un apercibimiento. En la determinación de la multa que deba imponerse a la reclamada por la infracción del artículo 16 RGPD de la que se le responsabiliza, tipificada en el artículo 83.5.
  21. b)RGPD, se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  22. a)a
  23. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  24. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  25. b)la intencionalidad o negligencia en la infracción;
  26. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  27. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  28. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  29. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  30. g)las categorías de los datos de carácter personal afectados por la infracción;
  31. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  32. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  33. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  34. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  35. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, establece: “2. De acuerdo a lo previsto en el artículo 83.2.
  36. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  37. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20
  38. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  39. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  40. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  41. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  42. f)La afectación a los derechos de los menores.
  43. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  44. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el supuesto analizado se aprecia la concurrencia de los siguientes factores que operan agravando la responsabilidad exigible a la entidad por cuanto evidencian una mayor antijuridicidad de su conducta o una mayor culpabilidad: - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) La actividad de la reclamada exige que se traten numerosos datos de carácter personal de sus clientes por lo que, dado el importantísimo volumen de negocio de la entidad financiera reclamada cuando acontecen los hechos, la transcendencia que puede tener su conducta infractora es innegable. - El tiempo desde que solicitó la parte reclamante la rectificación hasta que se llevó a cabo (art. 83.2
  45. a)del RGPD). Así las cosas, valoradas las circunstancias previstas en el artículo 83.2 del RGPD, apartados.
  46. a)y k), este último en relación con el artículo 76.2.
  47. b)LOPDGDD, en calidad de agravantes de la conducta examinada, que la multa administrativa a imponer por la infracción del artículo 16 del RGPD, tipificada en el artículo 83.5.b RGPD, se fije en 25.000 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CAIXABANK S.A., con NIF A08663619, por una infracción del Artículo 16 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 25.000 euros (veinticinco mil euros).. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  48. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  49. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.