PS-00206-2022

(2021), pero que consta como una empresa matriz de grupo, con un capital social de 269.659.846 €. SÉPTIMO: Con fecha 1 de julio de 2022, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 5 de julio de 2022 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. Este proyecto de decisión se notificó a BANKINTER conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el día 11 de julio de 2022, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 30 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANKINTER, a fin de imponerle una multa de 1000 euros, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, no fue recogido por BANKINTER dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 12 de febrero de 2023, como consta en el certificado que obra en el expediente. NOVENO: Con fecha 24 de febrero de 2023, BANKINTER presentó un escrito ante esta Agencia (solicitud de copia y envío de copia) en el que explica que tuvo conocimiento, a través de la Dirección Electrónica Habilitada (DEH), que la AEPD puso a disposición de Bankinter S.A una notificación con referencia ***REFERENCIA.1 y asunto “Acuerdo de Apertura” y que la misma se encuentra en situación de “Rechazada”. Pero que, en esta ocasión, no se había recibido por parte de la AEPD ningún aviso comunicando a Bankinter S.A, la puesta a disposición de una notificación en la sede electrónica Dirección electrónica habilitada (DEH) o en la Dirección electrónica habilitada única (DEHu), práctica que es habitual por parte de la Agencia. Por lo que el motivo del rechazo se debió a que Bankinter no había sido consciente de que tenía una notificación en la Dirección Electrónica Habilitada. Por tanto, solicitaba que se remitiera nuevamente a Bankinter, la citada notificación para que pudiera tener acceso al contenido de la misma y formular las correspondientes alegaciones y en su caso proponer la prueba que considere pertinentes. Con fecha 28 de febrero de 2023, esta Agencia puso a disposición de Bankinter a través de medios electrónicos una copia del acuerdo de inicio del presente procedimiento sancionador, la cual fue debidamente recogida ese mismo día, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 DÉCIMO: Con fecha 9 de marzo de 2023, se recibió en esta Agencia, en tiempo y forma, escrito de BANKINTER en el que aducía alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que BANKINTER había actuado sin dolo ni culpa y que la sanción no era proporcionada dado que existían atenuantes que no habían sido tenidos en cuenta y que los agravantes considerados en el acuerdo de inicio no debían ser tales. Solicitaba que se archivara el presente procedimiento sancionador o, subsidiariamente, que se le dirigiera un apercibimiento o, en su defecto, se le aplicara una multa en su grado mínimo. DÉCIMO PRIMERO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 29 de enero de 2019 la parte reclamante envía un correo electrónico a privacidad@bankinter.com, en el que adjunta su solicitud de acceso a sus datos personales en PDF. SEGUNDO: El 31 de enero de 2019 la parte reclamante recibe un correo electrónico de la dirección privacidad@bankinter.com, en el que se le informa de que se ha trasladado su petición al departamento correspondiente, desde el que se le dará cumplida respuesta en el plazo y forma establecidos. TERCERO: El 4 de febrero de 2019 BANKINTER dirige un documento a la parte reclamante, en el que se le informa que no pueden atender a su solicitud de acceso ya que sus datos no figuran en sus registros como cliente o excliente de la entidad. CUARTO: El 12 de febrero de 2019 la parte reclamante envía un correo electrónico a privacidad@bankinter.com, en el que informa: “Buenas tardes, Recibida vuestra respuesta por correo en el día de hoy (adjunto), en la que se niega que tenga algún producto contratado con ustedes, indicar que no es cierto, ya que tengo una cuenta abierta con ustedes (***CUENTA.1). Adjunto documento emitido por ustedes en referencia a esta cuenta. Ruego por tanto revisen de nuevo sus registros y procedan con la solicitud. Un saludo.” Junto con este correo electrónico la parte reclamante aporta copia de un documento de BANKINTER, de fecha septiembre de 2017, dirigido a la parte reclamante, en el que se les envía la información relativa a sus operaciones con Bankinter, necesaria para cumplimentar su declaración de impuestos correspondiente al ejercicio de 2016, en el que figura que la parte reclamante es titular de la cuenta número ***CUENTA.1. QUINTO: El 14 de febrero de 2019 la parte reclamante recibe un correo electrónico desde privacidad@bankinter.com, en el que se le informa: “Trasladamos su solicitud al departamento correspondiente, desde el que se le dará cumplida respuesta en el plazo y forma establecidos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 SEXTO: El 20 de abril de 2020, BANKINTER dio contestación al derecho de acceso de la parte reclamante, mediante correo electrónico remitido a la parte reclamante con sus datos personales mediante un documento adjunto cifrado, cuya clave era (...). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que BANKINTER realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, domicilio y correo electrónico, entre otros tratamientos. BANKINTER realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento es transfronterizo, dado que BANKINTER está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, BANKINTER tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 Por su parte, el derecho de acceso a los datos personales se regula en el artículo 15 del RGPD. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por BANKINTER: 1.- AUSENCIA DE DOLO Y CULPA EN LA ACTUACIÓN DE BANKINTER Alega BANKINTER que su respuesta a la parte reclamante se debió a un error humano en la consulta a la información solicitada, que sólo se advirtió cuando la AEPD remitió el Requerimiento de información a esta entidad. Y que el incidente descrito –siendo claramente desafortunado– debe ser considerado como algo puntual y aislado; algo casi fortuito que "escapó" a las medidas y recursos que Bankinter poseía para la gestión de los derechos de los interesados. Indica que: (

1. a)BANKINTER contaba y cuenta con medidas técnicas y organizativas apropiadas para dar respuesta a los derechos de los interesados bajo el más estricto respeto al RGPD, sus principios y obligaciones. En particular, en la contestación al Requerimiento se aportó como Documento Nº 1 el Procedimiento de Derechos. Afirma BANKINTER que este procedimiento es de reputada eficacia. Y que no en vano Bankinter es una entidad financiera que recibe una media de más de 44 solicitudes de derechos al mes (alcanzando 83 solicitudes en enero y febrero de 2023). Sin embargo, e incluso teniendo en cuenta el ingente número de solicitudes que la entidad ha venido recibiendo y gestionando desde 2018, solo doce se han traducido en actuaciones ante la AEPD. Merece resaltar todavía más que, salvo el caso que nos ocupa, el resto han terminado bien en archivo de actuaciones o en la inadmisión de la reclamación por la AEPD. Estas cifras, a su entender, no hacen más que poner de manifiesto cuan robustos son los procedimientos de Bankinter y la gran diligencia de la entidad. En cualquier caso, afirma que (
2. b)Bankinter contaba y cuenta con un departamento especializado que se encarga de contestar a todas las solicitudes de derechos de los interesados. Tener un departamento que se encargue únicamente de las contestaciones a los derechos garantiza, a su juicio, que se contesten en tiempo y forma. Dicho departamento trabaja de la mano de la asesoría jurídica para aquellas cuestiones no operativas. (
3. c)Bankinter alega que existe una trazabilidad absoluta del ejercicio de derechos por parte de los interesados. Todas las solicitudes que se reciben a través de cualquier canal son gestionadas a través de un programa informático al efecto y existe además un procedimiento implementado para asegurar la gestión correcta de los derechos ejercitados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 (
4. d)Indica, asimismo, que todos los empleados de Bankinter tienen que hacer un curso de obligado cumplimiento en materia de protección de datos en el que, entre otros y a los efectos del caso que nos ocupa, se les traslada la importancia de atender correctamente y en plazo las solicitudes de derechos de protección de datos. Al respecto, esta Agencia desea señalar que no es objeto del presente procedimiento evaluar el procedimiento que pudiera tener BANKINTER implantado para la atención de los ejercicios de derechos, sino que se trata de evaluar si BANKINTER dio debida respuesta a la solicitud de ejercicio de derecho de acceso de la parte reclamante en cuestión, de acuerdo a lo dispuesto por el RGPD. 1.5. Sin embargo, alega BANKINTER que como ocurre, en general, con cualquier procedimiento; las medidas y controles descritos, aun siendo robustos, no son infalibles, siendo el suceso (insistimos, aislado y puntual) ocurrido con la parte reclamante, prueba y consecuencia de ello. 1.6. A este respecto, y como complemento a lo señalado, advierte y destaca que los procedimientos con que Bankinter cuenta para minimizar las consecuencias de errores que, como en el supuesto que nos ocupa, puedan producirse, presentando soluciones a los mismos de forma rápida y eficaz. Así, en el presente caso, aun en plena pandemia de COVID-19, Bankinter, el 20 de abril de 2020, dio respuesta y satisfizo el derecho de la parte reclamante en cuanto tuvo conocimiento de la situación tras recibir el Requerimiento de la AEPD. Al respecto, esta Agencia desea señalar que dar respuesta a la solicitud de ejercicio de derecho de acceso a la parte reclamante no es otra cosa que cumplir con lo dispuesto por el RGPD. 1.7. Un error claramente aislado y puntual (no hay mejor prueba de ello que el hecho de que no se han vuelto a presentar reclamaciones a este respecto o indicando este tipo de error) como el sucedido en el caso que nos ocupa –que, por mucho que se protocolice, revise, gestione y automatice es imposible de evitar de forma absoluta– no debe negar la adecuada diligencia que, en efecto, Bankinter tiene ante el ejercicio de derechos por los interesados, que se mide y confirma por su comportamiento habitual y diario y por la existencia de políticas, controles y capacidad de reacción como los arriba señalados. Al respecto, esta Agencia desea señalar que el hecho de no hubiera más reclamaciones al respecto o “indicando este tipo de error” no concluye una prueba de que se trate de “un error claramente aislado y puntual”, si bien no es objeto del presente procedimiento evaluar más que si en el caso de la parte reclamante BANKINTER dio debida respuesta en tiempo y forma a la solicitud de ejercicio de derecho de acceso en cuestión. 1.8. Alega BANKITER que la adecuada contextualización del suceso ocurrido con la parte reclamante y su apreciación como de un error aislado respecto a los procedimientos y controles implementados por Bankinter no es una cuestión baladí, puesto que permite desvincular tal suceso de una conducta culposa por parte de Bankinter, sin la cual no puede existir sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 1.9. En efecto, como ha reconocido jurisprudencia consolidada, los principios inspiradores del orden penal son de aplicación, con ciertos matices, al derecho administrativo sancionador (por todas, la Sentencia del Tribunal Constitucional –"STC"– nº 18/1981). El principio de culpabilidad rige también en materia de infracciones administrativas y su régimen sancionador en tanto que es una manifestación del ius puniendi del Estado. En este sentido, resulta inadmisible en nuestro ordenamiento jurídico un régimen de responsabilidad objetiva o sin culpa (STC nº 76/1990). A este respecto, el art. 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público ("LRJSP"), indica expresamente que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa". Es decir, sin dolo o negligencia probada, no cabe ser responsable de una infracción. 1.10. BANKINTER alega que podría quizás argüirse que tuvo que ser negligente porque, de lo contrario, no se habría cometido el error que a su vez causo la inadecuada atención al derecho de la parte reclamante. Sin embargo, entiende que tal argumento debería también rechazarse por no ser aceptable en nuestro derecho sancionador. 1.11. En efecto, un error puntual y extraordinario (como ha ocurrido en el caso que nos ocupa) no permite deducir por sí solo la existencia de un comportamiento culposo. Ello supondría la objetivación definitiva de la culpa, donde el resultado equivale al elemento subjetivo (estructura proscrita en nuestro derecho sancionador –penal o administrativo). 1.12. En estos términos se ha pronunciado la Audiencia Nacional en repetidas sentencias: un error aislado no puede dar lugar por sí solo a responsabilidad cuando no medie dolo o culpa y se haya actuado con la diligencia pertinente. Por todas, la Sentencia de la Audiencia Nacional de 23 de diciembre de 2013 (Rec. 341/2012) (que, además, es citada por la propia AEPD en numerosas resoluciones en las que aplica esta doctrina –por ejemplo, las recaídas en los expedientes E/05498/2017, E/06654/2017 o E/00878/2018 –) determina a este respecto que: "La cuestión, pues, ha de resolverse conforme a los principios propios del derecho punitivo dado que el mero error humano no puede dar lugar, por sí mismo (y sobre todo cuando se produce con carácter aislado), a la atribución de consecuencias sancionadoras; pues, de hacerse así, se incurriría en un sistema de responsabilidad objetiva vedado por nuestro orden constitucional. En el ámbito de la protección de los datos de carácter personal, para que ese error pueda resultar relevante a efectos punitivos debe ser consecuencia -o estar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 posibilitado- por la ausencia de previos y adecuados procedimientos de control encaminados a su evitación. Sólo de esa manera aparecerá un factor de culpabilidad en la empresa, asignable a la imprudencia (o "simple inobservancia") por aquella falta de articulación de protocolos o de procedimientos de seguridad. Pero esas carencias deben ser objeto de indagación y prueba por parte del órgano administrativo sancionador (al que le incumbe la carga de su realización en destrucción de la presunción de inocencia). (…) Pues bien, en el presente caso nada de todo ello se dice por la resolución sancionadora, no sirviendo tampoco, a estos efectos, la conclusión de que, si se produjo el error, es porque los protocolos de seguridad no se establecieron o eran insuficientes. Ésta sería una conclusión falsa y pugnante con la falible dimensión humana. No se trata, pues, de garantizar la ausencia de errores a través del derecho punitivo sino de articular procedimientos para precaverlos y también, luego, de sancionar si esos protocolos no se establecen o si lo son en manera insuficiente" Al respecto, esta Agencia desea señalar que no se trata en el presente caso de un error puntual o un error aislado, que da lugar por sí solo a responsabilidad sin que existiera dolo o culpa por parte de BANKINTER. Negar la concurrencia de una actuación negligente por parte de BANKINTER equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no se comparte esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Una gran empresa que realiza de forma habitual tratamientos de datos personales de sus clientes, como BANKINTER, debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos, tal y como establece la jurisprudencia. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". En el presente caso, la parte reclamante envió un primer correo electrónico el 29 de enero de 2019 solicitando el acceso a sus datos personales. BANKINTER le contestó que no podía facilitarle tales datos porque no contaba como cliente o ex cliente del banco. No obstante, la parte reclamante envió un segundo correo electrónico el 12 de febrero de 2019 indicando al banco que sí que era cliente y adjuntó una serie de documentación que acreditaba tal situación. Y este segundo correo electrónico no obtuvo respuesta por parte del banco. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 Es decir, que la parte reclamante contactó de nuevo con el banco para que pudiera corregir la respuesta aportada en un primer momento, pero el banco no dio debido tratamiento a esta solicitud, ni siquiera una vez que la parte reclamante aporta la documentación correspondiente para que el banco pudiera subsanar tal situación. El hecho de que BANKINTER no hubiera dado debida respuesta a la parte reclamante una vez que contacta de nuevo con el banco para sacarlo de su error en su primera respuesta, acredita por sí mismo la falta de la debida diligencia que cabría esperarse de un banco de la categoría de BANKINTER, que realiza continuamente tratamientos de datos personales de sus clientes. 1.13. Alega BANKINTER que la propia Agencia ha archivado denuncias con base en este hecho, de un error puntual no puede equivaler a un comportamiento culposo del que derive responsabilidad administrativa. Como ejemplo, la resolución de archivo de actuaciones del procedimiento E/06894/2020, donde la AEPD reconoce que: "queda acreditado que la actuación del reclamado como entidad responsable del tratamiento, si bien incurrió en un incumplimiento de lo establecido en la normativa de protección de datos al incluir el domicilio de la persona notificada, que fue debido a un error puntual, ya ha implantado las medidas necesarias para que no vuelvan a producirse los hechos objeto de la presente reclamación." Al respecto, esta Agencia desea señalar que el procedimiento E/06894/2020 se trata de un supuesto sustancialmente distinto, toda vez que ni siquiera se trata de un ejercicio de derechos sino de una difusión no autorizada de datos personales. En dicho procedimiento, se decidió el archivo de las actuaciones en base a que se trató de una error puntual que fue corregido ni bien se tuvo conocimiento del mismo y a que se implantaron medidas para que no se volviera a producir una situación semejante, supuestos ambos que no se dan en el presente caso toda vez que el banco no dio debida respuesta a la parte reclamante en cuanto puso en su conocimiento que sí era cliente y debían facilitarle los datos que tuvieran, ni tampoco ha quedado acreditado que el banco hubiera adoptado medidas para evitar que una situación similar se repitiera en un futuro. 1.14. Además, alega BANKINTER que en cuanto tuvo conocimiento del error, procedió a resolverlo y a dar acceso a la parte reclamante a los datos solicitados, demostrando que contaba con mecanismos adecuados para solventar eficazmente una incidencia como la acaecida. Todo ello no puede ser obviado por la AEPD al analizar la culpabilidad (en realidad, ausencia de ésta) de Bankinter en el caso que nos ocupa. Al respecto, esta Agencia se reitera en que BANKINTER fue avisado de su error por la parte reclamante en su correo electrónico de fecha 12 de febrero de 2019, en el que no sólo manifestaba que era cliente, sino que aportaba la documentación pertinente para acreditar tal situación, y así poder obtener el acceso a sus datos, tal y como había solicitado anteriormente, pero este correo no fue debidamente respondido. Sino que se dio acceso a los datos de la parte reclamante una vez que esta Agencia requirió a BANKINTER para que aportara información sobre esta cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 1.15. Alega BANKINTER que la propia AEPD ha tenido en cuenta este tipo de circunstancias en resoluciones como la dictada en el expediente PS/00019/2021, en la que se aprecia ausencia de culpabilidad según se detalla a continuación: "En el presente caso, consta que la reclamada, una vez tuvo conocimiento de los errores que se estaban produciendo en el cruce de datos con el listado Robinson de Adigital, actuó con la diligencia debida corrigiendo el error detectado enviando en fecha 5/02/2020 un nuevo listado corregido a la investigada e incorporando a su listado interno la numeración objeto de reclamación, cesando en lo sucesivo las llamadas al reclamante. En consecuencia, no se aprecia por la investigada el elemento volitivo de culpabilidad en la conducta inicialmente imputada." Al respecto, esta Agencia desea señalar que el procedimiento PS/00019/2021 se trata de un supuesto sustancialmente distinto, toda vez que ni siquiera se trata de un ejercicio de derechos sino de la realización de llamadas publicitarias una vez se había ejercido el derecho de oposición, ni se trata de una infracción del RGPD sino de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones. En dicho procedimiento, se decidió el archivo de las actuaciones en base a que el error en el cruce de datos con el listado Robinson de Adigital se debió a un error puntual del sistema de filtrado de numeraciones con el listado Robinson de Adigital no existiendo culpabilidad en su conducta, toda vez que se debió a un cambio en el sistema de filtrado de numeraciones Robinson de Adigital durante el periodo comprendido entre el año 2020 y febrero de 2021 ajeno a su voluntad, y a que la reclamada, antes de conocer la incidencia en las descargas del listado Robinson de Adigital, procedió a corregir diligentemente ese error, tal como se deduce de la cronología de los hechos y del contenido del expediente administrativo, motivo por el que la conducta inicialmente imputada a la reclamada carece de elemento volitivo de culpabilidad al resultar como consecuencia de un error ajeno y en consecuencia, la ahora investigada carece de responsabilidad en los hechos inicialmente imputados. No obstante, en el presente caso, no se trata de un error producto de un cambio ajeno a la voluntad de BANKINTER ni tampoco BANKINTER ha actuado con la debida diligencia que correspondía, al no haber dado debida respuesta a la solicitud de la parte reclamante ni siquiera cuando ésta le había facilitado la información relativa a que sí era cliente. 1.16. Alega BANKINTER que, en otros procedimientos, como el E/06746/2020 la AEPD ha archivado las actuaciones por tener el denunciado medidas razonables para evitar errores y actuar diligentemente para actualizarlas al darse cuenta la entidad de que no eran suficientes: "De las actuaciones de investigación se desprende que (…) disponía de medidas técnicas y organizativas preventivas a fin de evitar este tipo de incidencia pero, sin embargo, se produjo la incidencia ahora analizada. (…) la entidad investigada disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/22 Al respecto, esta Agencia desea señalar que el procedimiento E/06746/2020 se trata de un supuesto sustancialmente distinto, toda vez que ni siquiera se trata de un ejercicio de derechos sino de una brecha de datos personales. En dicho procedimiento, se decidió el archivo de las actuaciones en base a que la entidad investigada disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente, lo cual no es lo que ha ocurrido en el presente caso toda vez que el banco actuó con la debida diligencia al no dar debida respuesta a la parte reclamante en cuanto puso en su conocimiento que sí era cliente y debían facilitarle los datos que tuvieran, ni tampoco ha quedado acreditado que el banco hubiera adoptado medidas para evitar que una situación similar se repitiera en un futuro. 1.17. Alega BANKINTER que, dado que la inadecuada atención del derecho de acceso de la parte reclamante se debió a un error puntual y no a un comportamiento negligente de Bankinter, la AEPD debe proceder al archivo del presente Procedimiento Sancionador por no concurrir el elemento de la culpa. Al respecto, esta Agencia se reitera en que negar la concurrencia de una actuación negligente por parte de BANKINTER equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no se comparte esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Una gran empresa que realiza de forma habitual tratamientos de datos personales de sus clientes, como BANKINTER, debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos, tal y como establece la jurisprudencia. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". En el presente caso, la parte reclamante envió un primer correo electrónico el 29 de enero de 2019 solicitando el acceso a sus datos personales. BANKINTER le contestó que no podía facilitarle tales datos porque no contaba como cliente o ex cliente del banco. No obstante, la parte reclamante envió un segundo correo electrónico el 12 de febrero de 2019 indicando al banco que sí que era cliente y adjuntó una serie de documentación que acreditaba tal situación. Y este segundo correo electrónico no obtuvo respuesta por parte del banco. Es decir, que la parte reclamante contactó de nuevo con el banco para que pudiera corregir la respuesta aportada en un primer momento, pero el banco no dio debido tratamiento a esta solicitud, ni siquiera una vez que la parte reclamante aporta la documentación correspondiente para que el banco pudiera subsanar tal situación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 El hecho de que BANKINTER no hubiera dado debida respuesta a la parte reclamante una vez que contacta de nuevo con el banco para sacarlo de su error en su primera respuesta, acredita por sí mismo la falta de la debida diligencia que cabría esperarse de un banco de la categoría de BANKINTER, que realiza continuamente tratamientos de datos personales de sus clientes. Por todo lo anteriormente expuesto, queda desestimada la presente alegación. 2. – SUBSIDIARIAMENTE, SOBRE LA NECESARIA PROPORCIONALIDAD DE LAS SANCIONES Y SU GRADUACIÓN. APLICACIÓN DE ATENUANTES Y AUSENCIA DE AGRAVANTES. 2.1. Subsidiariamente a la Alegación Primera, en el improbable supuesto de que Bankinter sea considerada responsable por la infracción del artículo 15 al apreciarse algún tipo de culpa (quod non), alega BANKINTER que la Agencia debe tener en consideración las siguientes circunstancias atenuantes (que descarta en el Acuerdo de Inicio sin detenerse a analizarlas), con el fin de determinar el importe de la multa y la imposición del apercibimiento, de acuerdo con lo previsto en los arts. 83.2 RGPD y 76.2 de la LOPDGDD: (
5. a)La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (art. 83.2.a RGPD) En el caso que nos ocupa, la situación acontecida ha implicado la respuesta tardía ante el ejercicio del derecho de acceso de una única persona por un error puntual. No cabe sino entender que las disposiciones del art. 83.2.a RGPD aplican a este caso como circunstancia atenuante. Al respecto, esta Agencia desea señalar que no se trata de que BANKINTER hubiera dado una “respuesta tardía” a la parte reclamante, sino que se trata de que el banco no había dado respuesta de ningún tipo a la parte reclamante y sólo se le facilitó el acceso una vez admitida a trámite a la reclamación y después de que hubiera sido requerido para aportar información sobre el caso. De acuerdo con la Sentencia de la Audiencia Nacional SAN 3432/2009, “la falta de contestación de las solicitudes de acceso del denunciante y su entrega a otra empresa, configura la obstaculización del derecho de acceso que a todo afectado reconoce el artículo 15 de la LOPD, y que el artículo 44.3
6. e)tipifica como infracción grave”. Es decir, que el hecho de no haber proporcionado acceso a la parte reclamante a los datos con que contaba BANKINTER se trata de una obstaculización del derecho de acceso. Por esta razón, no puede entenderse que se valore tal situación como un atenuante de la infracción, sino lo contrario. Por lo que queda desestimada la presente alegación. (
7. b)La intencionalidad o negligencia en la infracción (art. 83.2.b RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/22 Alega BANKINTER que ha actuado con la debida diligencia, implementando medidas pre y post al error puntual, de forma tanto preventiva como proactiva para garantizar la protección de los datos personales que trata, y para dar debida respuesta a los derechos. Y que en el raro supuesto de que la AEPD considere que concurre culpa, ha quedado demostrado que esta circunstancia debe entenderse como un atenuante. Al respecto, esta Agencia se reitera en que negar la concurrencia de una actuación negligente por parte de BANKINTER equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no se comparte esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida. Una gran empresa que realiza de forma habitual tratamientos de datos personales de sus clientes, como BANKINTER, debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos, tal y como establece la jurisprudencia. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". En el presente caso, la parte reclamante envió un primer correo electrónico el 29 de enero de 2019 solicitando el acceso a sus datos personales. BANKINTER le contestó que no podía facilitarle tales datos porque no contaba como cliente o ex cliente del banco. No obstante, la parte reclamante envió un segundo correo electrónico el 12 de febrero de 2019 indicando al banco que sí que era cliente y adjuntó una serie de documentación que acreditaba tal situación. Y este segundo correo electrónico no obtuvo respuesta por parte del banco. Es decir, que la parte reclamante contactó de nuevo con el banco para que pudiera corregir la respuesta aportada en un primer momento, pero el banco no dio debido tratamiento a esta solicitud, ni siquiera una vez que la parte reclamante aporta la documentación correspondiente para que el banco pudiera subsanar tal situación. El hecho de que BANKINTER no hubiera dado debida respuesta a la parte reclamante una vez que contacta de nuevo con el banco para sacarlo de su error en su primera respuesta, acredita por sí mismo la falta de la debida diligencia que cabría esperarse de un banco de la categoría de BANKINTER, que realiza continuamente tratamientos de datos personales de sus clientes. Por todo lo expuesto, se desestima la presente alegación. (
8. c)Cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados (art. 83.2.c RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/22 Alega BANKINTER que cuando conocimiento del error en la respuesta dio contestación al derecho de acceso de la parte reclamante sin que se produjesen daños adicionales por el retraso en la contestación. Ello también debe tenerse en consideración como circunstancia atenuante. Al respecto, esta Agencia se reitera en que BANKINTER fue avisado de su error por la parte reclamante en su correo electrónico de fecha 12 de febrero de 2019, en el que no sólo manifestaba que era cliente, sino que aportaba la documentación pertinente para acreditar tal situación, y así poder obtener el acceso a sus datos, tal y como había solicitado anteriormente, pero este correo no fue debidamente respondido. Sino que se dio acceso a los datos de la parte reclamante una vez que esta Agencia requirió a BANKINTER para que aportara información sobre esta cuestión. Lo cual, por otra parte, no era otra cosa que su obligación. Por lo que se desestima la presente alegación. (
9. d)El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (art. 83.2.f RGPD) En línea con lo señalado con anterioridad, alega BANKINTER que adoptó las medidas oportunas para poner remedio a la situación ocurrida, de las que informó debidamente a dicha Agencia en la contestación al Requerimiento. Bankinter ha colaborado de buena fe con la AEPD para poner remedio a la infracción y, de hecho, lo consiguió, lo cual debe ser tenido en cuenta como circunstancia atenuante. Al respecto, esta Agencia desea señalar que contestar los requerimientos de información que realiza es una obligación legal, en virtud del artículo 52 de la LOPDGDD, que dispone que: “Las Administraciones Públicas, incluidas las tributarias y de la Seguridad Social, y los particulares estarán obligados a proporcionar a la Agencia Española de Protección de Datos los datos, informes, antecedentes y justificantes necesarios para llevar a cabo su actividad de investigación”. Por lo que era una obligación de BANKINTER proporcionar dicha información a esta Agencia. Por todo lo expuesto, se desestima la presente alegación. 2.2. Alega BANKINTER que el presente caso no debería llevar aparejado la imposición de una multa, sino en todo caso el apercibimiento (facultad de la AEPD reconocida en el art. 58.2.b del RGPD). Esta, de acuerdo con el considerando 148 RGPD, puede imponerse atendiendo a: "En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/22 Indica que en el caso que nos atañe, no hay duda de que nos encontramos ante una infracción leve, sin que el hecho de que se califique como "muy grave" a meros efectos de prescripción, pueda cambiar tal consideración. Al respecto, esta Agencia desea señalar que no se dan los requisitos señalados por el considerando 148 del RGPD, toda vez no estamos ante una infracción leve a los efectos del RGPD, al tratarse de la obstaculización de un ejercicio de derecho de acceso de la parte reclamante debido a la falta de diligencia debida de BANKINTER, ni tampoco se trata de una sanción dirigida a una persona física. Por lo que se desestima la presente alegación. 2.3. La ausencia de consideración de los atenuantes mencionados, y de la consiguiente reducción de la cuantía propuesta o la imposición de un apercibimiento, haría que la cantidad que actualmente se propone resulte del todo contraria al principio de proporcionalidad que rige el procedimiento administrativo sancionador en relación con la infracción que se discute, resultando en una sanción desproporcionada (por pequeña que sea). Al respecto, esta Agencia se reitera en todo lo expuesto anteriormente y desestima la presente alegación. IV Derecho de acceso El artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
10. a)los fines del tratamiento;
11. b)las categorías de datos personales de que se trate;
12. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
13. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
14. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
15. f)el derecho a presentar una reclamación ante una autoridad de control;
16. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
17. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/22 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. En el presente caso, consta que la parte reclamante había solicitado a BANKINTER el acceso a sus datos personales mediante correo electrónico en, al menos, dos ocasiones. La última vez, el día 12 de febrero de 2019, en la que ponía en conocimiento del banco que sí que era cliente y aportaba la documentación pertinente para acreditar tal extremo. Por su parte, BANKINTER le contestó la primera vez que no tenía datos suyos y la segunda vez únicamente le envió un correo electrónico a la parte reclamante indicándole que se había dado traslado de su solicitud al departamento correspondiente, desde el que se le daría cumplida respuesta en el plazo y forma establecidos. No obstante, la parte reclamante no recibió respuesta alguna posterior hasta que, con posterioridad a recibir requerimiento de información de esta Agencia, se le dio acceso a la información solicitada el 20 de abril de 2020. Esto es más de un año después de haberlo solicitado y sólo tras la intervención de esta Agencia. De conformidad con las evidencias de las que se dispone en este momento de acuerdo de propuesta de resolución de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a BANKINTER, por vulneración del artículo 15 del RGPD. V Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de propuesta de resolución del procedimiento sancionador, se considera que BANKINTER no ha atendido debidamente el derecho de acceso solicitado por la parte reclamante. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a BANKINTER, tipificada en el Artículo 83.5 del RGPD, que estipula lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
18. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1.
19. k)de la LOPDGDD, que califica de muy grave la siguiente conducta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/22 “[
20. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679].” VI Propuesta de sanción Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, a efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite proponer una sanción de 1000 € (mil euros). VII Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
21. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a BANKINTER, S.A., con NIF A28157360, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 1.000,00 € (mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/22 supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 800,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-170223 B.B.B. INSPECTORA - INSTRUCTORA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/22 ANEXO >> SEGUNDO: En fecha 28 de marzo de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 800 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/22 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00206/2022, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a BANKINTER, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
22. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es