1/12 Expediente Nº:***EXPEDIENTE.1 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DELPASO CAR HIRE, S.L.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º:***EXPEDIENTE.1 IMI Reference: ***IMI.1 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación el 22 de junio de 2022 ante la autoridad de protección de datos de Francia (Commission Nationale de l'Informatique et des Libertés). La reclamación se dirige contra DELPASO CAR HIRE, S.L.U., con NIF B10915734 (en adelante, DELPASO). Los motivos en que basa la reclamación son los siguientes: El 4 de mayo de 2022 la parte reclamante reservó un coche en la agencia “DelPaso Málaga” y, el 5 de mayo de 2022 a las 23:00 horas, cuando fue a recogerlo, le informaron de que había sido denegada la reserva debido a anotaciones en su expediente. En ese momento, la parte reclamante solicitó conocer qué información constaba en su expediente, pero no se lo mostraron alegando que esa información era confidencial para uso interno. El 12 de mayo de 2022, la parte reclamante solicitó a DELPASO el acceso a la información que constaba en su expediente vía carta certificada electrónica sin haber obtenido respuesta a la fecha de presentación de su reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Junto a la reclamación se aporta: - Copia de una comunicación remitida el 12 de mayo de 2022 a “DEL PASO CAR HIRE ***EMAIL.1, ***EMAIL.2, ***EMAIL.3, ***EMAIL.4”, en la que la parte reclamante solicita el acceso a sus datos personales que figuran en los sistemas de información de DELPASO en el plazo de un mes, de acuerdo con los artículos 12 y 15 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos. - Copia de la prueba de un envío certificado por EMAILAR (XXXXXX) enviado por la parte reclamante con destinatario “DELPASO Car Hire 2021 ***EMAIL.2 (professionnel)” en fecha 12 de mayo de 2022 a las 20:17:58 horas; así como, copia de la certificación de EMAILAR (XXXXXX), en la que se certifica que a fecha 28 de mayo de 2022 a las 00:00:00 horas, DELPASO no accedió a la comunicación. - Copia de la prueba de un envío certificado por EMAILAR (XXXXXX) enviado por la parte reclamante con destinatario “DELPASO Car Hire 2021 ***EMAIL.4 (professionnel)” en fecha 12 de mayo de 2022 a las 20:17:58 horas; así como, copia de la certificación de EMAILAR (XXXXXX), en la que se certifica que a fecha 28 de mayo de 2022 a las 00:00:00 horas, DELPASO no accedió a la comunicación. - Copia de la prueba de un envío certificado por EMAILAR (XXXXXX) enviado por la parte reclamante con destinatario “DELPASO Car Hire 2021 ***EMAIL.1 (professionnel)” en fecha 12 de mayo de 2022 a las 20:17:58 horas; así como, copia de la certificación de EMAILAR (XXXXXX), en la que se certifica que a fecha 28 de mayo de 2022 a las 00:00:00 horas, DELPASO no accedió a la comunicación. - Copia de la prueba de un envío certificado por EMAILAR (XXXXXX) enviado por la parte reclamante con destinatario “DELPASO Car Hire 2021 ***EMAIL.5(professionnel)” en fecha 12 de mayo de 2022 a las 20:17:58 horas; así como, copia de la certificación de EMAILAR (XXXXXX) en la que se certifica que a fecha 28 de mayo de 2022 a las 00:00:00 horas, DELPASO no accedió a la comunicación. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 03 de marzo de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el 6 de marzo de 2023. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que DELPASO tiene su único establecimiento en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Francia, la autoridad de Países Bajos. Esta última en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de esta autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 24 de marzo de 2023, de conformidad con el artículo 64 entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Con fecha 3 de abril de 2023, se recibe en esta Agencia escrito de respuesta a requerimiento de información, (este requerimiento de información fue accedido por DELPASO el 24 de marzo de 2022), presentado en nombre y representación de DELPASO, con número de registro de entrada ***REGISTRO.1, en el que se aporta, entre otra, la siguiente información: Indicación de que “En relación con las actuaciones realizadas respecto a la solicitud (…), referir que el conocimiento que se ha tenido al respecto lo ha sido con ocasión de la recepción del presente requerimiento. Según se advierte de la propia documentación que se adjunta al expediente, la petición se realiza a la dirección mail: ***EMAIL.2 que se corresponde con la de un mayorista intermediario en la contratación y no con la empresa que represento. No obstante, habiendo conocido por esta vía de la existencia de petición de información, se ha procedido de inmediato y vía mail, a facilitar toda la información requerida por (…) ***A.A.A. en su dirección facilitada ***EMAIL.6”. Copia de un correo electrónico escrito en idioma francés enviado por ***EMAIL.5, en fecha 30 de marzo de 2023 a las 15:42 horas, a la parte reclamante (***EMAIL.6). Su contenido es el siguiente (traducción no oficial, en francés el original): “Por la intermediación de la Agencia Española de Protección de Datos, hemos recibido una carta de usted (dirigida al intermediario Discovecars) en la que nos solicita que le indiquemos los datos personales que aparecen en nuestros ficheros y, para responder plenamente a su solicitud del derecho de acceso, le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 informamos que los datos de que disponemos son los datos esenciales para formalizar el contrato y cumplir con las obligaciones impuestas a las empresas de alquiler de coches sin conductor por la legislación española y se corresponden con los siguientes: Nombre A.A.A. Dirección: ***DIRECCIÓN.1 Número de teléfono de contacto proporcionado por usted (***TELÉFONO.1) Correo electrónico: ***EMAIL.6 Esperamos haber respondido a su solicitud de información y le enviamos nuestros más sinceros saludos". Adjunto al correo electrónico se aporta una copia de un documento denominado “FICHA CLIENTE”, que contiene los siguientes datos personales de la parte reclamante: código, email, DNI y país de expedición, carnet y país de expedición, país de nacimiento, nombre, país, fecha de nacimiento, dirección habitual, dirección local, número de teléfono y relación de alquileres (que incluye 4 alquileres). Copia de “DOCUMENTO INFORMATIVO EJERCICIO DE DERECHOS Y BRECHAS DE SEGURIDAD” en cuyo apartado “2.- EJERCICIO DE LOS DERECHOS” se indica como canal para ejercer los derechos de protección de datos una “Petición por escrito (puede solicitamos los modelos: ***EMAIL.3)”. Copia de la “Política de privacidad”, que indican que es la que utilizaban en la fecha en que la parte reclamante solicitó el derecho de acceso. En su apartado séptimo, “7. Ejercicio de los Derechos de Protección de Datos”, se indica, entre otras cláusulas, lo siguiente: “Los usuarios podrán dirigir una comunicación al domicilio social de Delpaso Car Hire S.L.U. o dirección de correo electrónico ***EMAIL.3, incluyendo en ambos casos fotocopia de su D.N.I u otro documento de identificación similar, para solicitar el ejercicio de los siguientes derechos: - Acceso a sus datos personales: podrá preguntar a Delpaso Car Hire S.L.U. si está usando sus datos personales. (…)” 2) Con fecha 17 de abril de 2023, se realiza una consulta en el sitio web ***URL.1 sobre el código QR que aparece en la copia de la prueba de un envío certificado por EMAILAR enviado por la parte reclamante con destinatario “DELPASO Car Hire 2021 ***EMAIL.3 (professionnel)” en fecha 12 de mayo de 2022, y presentada por la parte reclamante (aportada a la AEPD por la CNIL). Se obtuvieron los siguientes resultados: Este código QR corresponde con la dirección ***URL.2, que dirige hacia una página para verificar la autenticidad de documentos certificados por EMAILAR. Se verifica el documento PDF entregado por la CNIL como copia de la prueba de un envío certificado por EMAILAR enviado por la parte reclamante con destinatario “DELPASO Car Hire 2021 ***EMAIL.3 (professionnel)” en fecha 12 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 de mayo de 2022, y se obtiene el resultado de “Document non reconnu” [Traducción no oficial: “Documento no reconocido”]. 3) Con fecha 17 de abril de 2023, se realiza una búsqueda sobre el volumen de negocio o actividad de DELPASO en el servicio Monitoriza de Axesor en el que consta que la entidad investigada es una empresa activa de tipo “Filial de grupo”, de la cual no se disponen de datos de cuentas anuales. QUINTO: Con fecha 18 de marzo de 2024, la Directora de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 19 de marzo de 2024 se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 y 60 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que DELPASO realiza la recogida y conservación de los siguientes datos personales de personas físicas: nombre, dirección, teléfono móvil y correo electrónicos, entre otros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 DELPASO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que DELPASO está establecida en España, si bien presta servicio a otros países de la Unión Europea. Por su parte, el artículo 15 del RGPD regula el derecho de acceso del interesado a sus datos personales. III Derecho de acceso del interesado El artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- a)las categorías de datos personales de que se trate;
- b)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
- c)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- d)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- e)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” En el presente caso, consta que el 12 de mayo de 2022 la parte reclamante ejercitó su derecho de acceso ante DELPASO a través de carta certificada electrónica remitida a las siguientes direcciones electrónicas: ***EMAIL.1, ***EMAIL.2, ***EMAIL.3 y ***EMAIL.4. Tal y como figura en la documentación aportada por la parte reclamante, tanto los envíos como el no acceso por DELPASO al contenido de la comunicación fueron certificados por la compañía EMAILAR en fecha 12 y 28 de mayo de 2022. Por su parte, DELPASO, tras el requerimiento de información de esta Agencia, dio acceso a la información solicitada por la parte reclamante. Así ha quedado acreditado con la copia del correo electrónico de 30 de marzo de 2023 aportada por la entidad reclamada, en la que figura como documento adjunto una copia de la “Ficha cliente” donde aparecen los siguientes datos personales de la parte reclamante: código, email, DNI y país de expedición, carnet y país de expedición, país de nacimiento, nombre, país, fecha de nacimiento, dirección habitual, dirección local, número de teléfono y relación de alquileres (incluye 4 alquileres). No obstante, atendió el derecho de acceso de la parte reclamante casi un año después de haberlo solicitado y sólo tras la intervención de esta Agencia. Con respecto a lo manifestado por DELPASO sobre que “la petición se realiza a la dirección mail: ***EMAIL.2 que se corresponde con la de un mayorista intermediario en la contratación”, esta Agencia desea señalar que, como ya se indicó anteriormente, la parte reclamante envió su petición a 4 direcciones electrónicas distintas. Entre ellas, se encuentra ***EMAIL.3, dirección que figura como vía para el ejercicio de derechos de protección de datos ante DELPASO en el “DOCUMENTO INFORMATIVO EJERCICIO DE DERECHOS Y BRECHAS DE SEGURIDAD” y en la “Política de privacidad” que aporta la propia entidad. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a DELPASO, por vulneración del artículo 15 del RGPD. IV Tipificación y calificación de la infracción del artículo 15 del RGPD De confirmarse, la citada infracción del artículo 15 del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de mutas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
- b)Los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 (…)”. V Propuesta de sanción por la infracción del artículo 15 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 2.000€ (dos mil euros). VI Imposición de medidas De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución que ponga fin al presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a DELPASO CAR HIRE, S.L.U., con NIF B10915734, por la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.
- b)del RGPD. SEGUNDO: NOMBRAR como instructor/a a B.B.B. y, como secretario/a a C.C.C., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la documentación procedente del IMI que ha dado lugar a las actuaciones previas de investigación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento y la documentación procedente del IMI sobre el proyecto de decisión. CUARTO: QUE a los efectos previstos en el artículo 64.2
- b)de la LPACAP, la sanción que pudiera corresponder sería de multa administrativa de 2.000€ (dos mil euros), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a DELPASO CAR HIRE, S.L.U., con NIF B10915734, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. Asimismo, conforme dispone dicho artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600€ (mil seiscientos euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600€ (mil seiscientos euros) y su pago implicará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 1.200€ (mil doscientos euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 1.600€ o 1.200€), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: CAIXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce/seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-18032024 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 24 de abril de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1200 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento ***EXPEDIENTE.1, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a DELPASO CAR HIRE, S.L.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es