← España

PS-00212-2023

1/17  Expediente Nº: EXP202306268 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ELECTRAWORKS CEUTA, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: PS/00212/2023 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 12 de abril de 2019, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ELECTRAWORKS - CEUTA, S.A. con NIF A67870402 (en adelante, la parte reclamada). Los motivos en que se basa la reclamación son los siguientes: El reclamante se dirigió al responsable del portal web BWIN para solicitar la supresión de sus datos personales. Sin embargo, solo consiguió que le dieran de baja de las comunicaciones comerciales. Tras insistir, volvieron a rechazar su petición diciendo que los datos se han de conservar por 10 años, y le instan a volver a realizar la solicitud pasado ese plazo. En la política de privacidad de dicho portal se señala como responsable a la empresa ELECTRAWORKS PLC, con establecimiento principal en Malta. Fecha en la que tuvieron lugar los hechos reclamados: el reclamante realiza la primera solicitud para que borren sus datos el 22 de noviembre de

  1. El 27 de marzo de 2019 se le comunica al reclamante que sus datos se han de conservar por 10 años, y se podrá solicitar su borrado transcurrido ese tiempo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 Documentación relevante aportada por la parte reclamante: - Impresión de correo electrónico de fecha 22/11/2017 remitido por el reclamante hacia Soporte.es@bwin.es. En este correo electrónico el reclamante responde a otro correo en el que le indican los pasos a seguir para cerrar la cuenta, de tal modo que el reclamante indica que “Eso ya lo he hecho. Quiero que borren mis datos de su base de datos. Que borren mi cuenta.” - Impresión de correo electrónico de fecha 27/03/2019 remitido por el reclamante hacia soporte.es@bwin.es. En este correo electrónico el reclamante indica que “Hace año y medio que les pedí que dieran de baja mi cuenta y borraran mis datos de su Base de Datos. Llevan año y medio incumpliendo la Ley de protección de datos y me siguen mandando anuncios y comunicaciones tanto al email como al móvil.” - Impresión de correo electrónico de fecha 27/03/2019 remitido por soporte.es@bwin.es en el que se le indica al reclamante, entre otra, la siguiente información: “Le informamos que hemos desactivado las notificaciones de su cuenta y no recibirá más comunicaciones a partir de ahora. Independientemente de esta configuración, algunos tipos de comunicaciones siempre se enviarán cuando sea necesario o siempre estarán activadas en su cuenta, (por ejemplo, e-mails relacionados con restablecer tu contraseña o notificaciones de apuesta por SMS).” … “Los datos personales que almacene en nuestra base de datos podrán ser borrados bajo solicitud una vez transcurra el periodo mínimo de garantía legal de 10 años estipulado en nuestros requisitos de licencia, luego de haber cerrado su cuenta. No es posible borrar sus datos antes de que expire dicho periodo, dado que dicha información tiene que estar disponible para su seguridad en caso de que se requiera en supuestos de inejecutabilidad, ejercicio o defensa de demandas legales por parte de las autoridades o tribunales. Sus datos personales no se utilizarán con otros fines.” - Impresión de correo electrónico de fecha 27/03/2019 remitido, como contestación al anterior correo, por el reclamante hacia soporte.es@bwin.es. En este correo electrónico el reclamante indica lo siguiente: “No les he pedido que me dejen de enviarme comunicaciones. Les he pedido la cancelación de mis datos. Y no ahora sino desde hace año y medio. La ley de protección de datos vigente es la 3/2018 que traspone el reglamento europeo 2016/
  2. En dicha ley se expone que revocar el consen1miento al tratamiento de mis datos personales debe ser tan ser tan sencillo como lo fue darlo. Y el responsable del tratamiento debe suprimirlos sin dilación indebida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Si me siguen poniendo trabas me pondré en contacto con la Agencia de Protección de Datos. Y las sanciones no son ninguna minucia.” - Impresión de correo electrónico de fecha 27/03/2019 remitido por soporte.es@bwin.es en el que se le indica al reclamante, entre otra, la siguiente información: “Le informamos que si cierra su cuenta, los datos personales que almacene en nuestra base de datos podrán ser borrados bajo solicitud una vez transcurra el periodo mínimo de garantía legal de 10 años estipulado en nuestros requisitos de licencia. No es posible borrar sus datos antes de que expire dicho periodo, dado que dicha información tiene que estar disponible para su seguridad en caso de que se requiera en supuestos de inejecutabilidad, ejercicio o defensa de demandas legales por parte de las autoridades o tribunales.” - Impresión de correo electrónico de fecha 27/03/2019 remitido, como contestación al anterior correo, por el reclamante hacia soporte.es@bwin.es. En este correo electrónico el reclamante indica lo siguiente: “Están muy mal informados. Yo les solicito que borren mis datos y ustedes tienen que bloquearlos, siendo sólo accesibles para las autoridades y borrarlos cuando pase el periodo de prescripción. Yo no tengo que volver a solicitar que vuelvan a borrar mis datos dentro de 10 años.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 26 de abril de 2021, la Agencia Española de Protección de Datos (en adelante, AEPD) dio traslado de dicha reclamación a la autoridad de control de protección de datos personales de Malta debido a que ELECTRAWORKS PLC tenía su establecimiento principal en Malta, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 18 de mayo de 2022, la autoridad de control de protección de datos personales de Malta informa de que, en ese momento, el establecimiento principal de ELECTRAWORKS estaba en Ceuta (España), por lo que la AEPD se declara autoridad principal en este caso. TERCERO: Con fecha 21 de junio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 El día 29 de septiembre de 2022, se presenta un escrito ante la AEPD en nombre de ELECTRAWORKS como respuesta a los requerimientos de información formulados por esta Agencia a la parte reclamada, aportándose, entre otra, la siguiente información:
  3. Declaración de que el reclamante aceptó los “Términos y Condiciones y política de privacidad” el día 6 de junio de 2018, y se aporta copia de estos términos en los que se indica lo siguiente respecto al periodo de conservación de los datos en su apartado “
  4. CONSERVACIÓN DE INFORMACIÓN PERSONAL”: “El periodo durante el cual podremos conservar datos sobre ti dependerá de los fines por los que se recopilaron, de si has solicitado el borrado de los datos y de si hay cualquier obligación legal que requiera la conservación de los datos (por ejemplo, por cumplimiento regulatorio). Conservaremos datos sobre ti durante al menos el tiempo necesario para cumplir con los fines por los que los datos se recopilaron. En los casos en los que tratamos tu información personal con fines de marketing o con tu consentimiento, tratamos la información personal hasta que nos pidas que dejemos de hacerlo y por un periodo corto de tiempo después de esto (para permitirnos implementar tu solicitud). También guardamos un registro del hecho de que nos hayas pedido que no te enviemos marketing directo o que no tratemos tu información personal indefinidamente, de forma que podamos respetar dicha solicitud en el futuro. En los casos en los que tratemos tu información personal para cumplir con nuestras obligaciones legales, lo haremos de conformidad con todo periodo de conservación que así especifique la ley aplicable.”
  5. Declaración de que “En la política de privacidad aceptada por el usuario y en la versión vigente en al web, se establecen, como se recomienda en el informe de las políticas de privacidad de adaptación emitido por la AEPD, los criterios en los que Bwin se basa para retener los datos de carácter personal, proporcionados por el usuario. Hay que tener en cuenta que el sector del juego está fuertemente regulado y estamos sometidos a periodos muy estrictos marcados por obligaciones legales dependientes del Ministerio de Hacienda y Función Publica y de la Dirección General de Ordenación del Juego, dependiente de Ministerio de Consumo. Además, tenemos un procedimiento interno para contestar a cualquier reclamación o reclamación de supresión de datos y estos están fuertemente sometidos a nuestra política de retención de datos”. Y aportan un extracto de esa política de retención de datos en la que se ve un listado de periodos de retención para España donde subrayan que el periodo de retención por defecto para la categoría “Money Laundering” [Traducción no oficial: “Blanqueo de capitales”] es de 10 años.
  6. Declaración de que se adjunta al escrito un “extracto del procedimiento interno para el ejercicio de supresión y la tabla de los periodos para España (10 años) que se comunicó al usuario el día 27 de marzo de
  7. Por lo que entendemos que Bwin cumplió con los principios de transparencia e información.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17
  8. Dentro de la copia de los “Términos y Condiciones y política de privacidad” aportada, en su apartado “
  9. CON QUIÉN PONERSE EN CONTACTO” se indica lo siguiente: “ElectraWorks (Malta) Plc está registrada en la Oficina del Comisario de Protección de Datos de Malta y puedes acceder a su sitio web aquí. Si tienes cualquier consulta o quieres ejercer alguno de tus derechos, ponte en contacto con nosotros en privacy@bwin.es. Si tu país tiene una autoridad en la protección de datos, tienes derecho a ponerte en contacto con ella para consultar cualquier duda o asunto. Si no podemos resolver tus dudas o preguntas, también tienes derecho a buscar una vía de recurso ante un tribunal nacional.”
  10. Declaración de que “la primera vez que el reclamante se puso en contacto con nosotros, era en 2017 cuando la RGPD no había entrado en vigor, por lo que desde 2017 y las subsecuentes interacciones con el usuario el procedimiento ha variado considerablemente. De hecho, en conversaciones mantenidas con el usuario en el año 2019, se le menciona que tiene que contactarnos para solicitar la supresión de los datos cuando el periodo haya terminado, pero eso obviamente no es correcto, ya que tenemos un procedimiento para proceder a la eliminación de los datos sin necesitar la colaboración de los usuarios.”. Y se aporta una captura de pantalla de un sistema de información, que indican que es el sistema que recoge las peticiones de eliminación de datos. En esta pantalla se observan los datos de una petición realizada por el reclamante el día 22/11/2017, entre los que se incluye como “Last Transaction Date” [Traducción no oficial: “Fecha de la Última Transacción”] el 01/10/2017, como “Account Closure Date” [Traducción no oficial: “Fecha de Cierre de la Cuenta”] el 11/01/2022, y como “Retention Period End Date” [Traducción no oficial: “Fecha de Fin del Periodo de Retención”] el 01/10/
  11. Y declaran que “El reclamante se registró el día 1 de agosto de 2017, pero el computo del plazo según las obligaciones legales pertinentes no puede empezar a computarse hasta el día de la última transacción realizada por el reclamante. Por lo que la suspensión definitiva de los datos está programada para el día 1 de octubre de
  12. Teniendo en cuenta que la última transacción se realizó el día 1 de octubre de 2017.”
  13. Declaración, respecto a los usuarios que tenían acceso a los datos del reclamante tras tramitar su solicitud, de que “Una vez cerrada y clausurada la cuenta, los datos se restringen solamente a los equipos que únicamente necesitarían el acceso para los casos limitados de acceso para cumplir con nuestras obligaciones legales. Por ejemplo, la información de la cuenta ya no será incluida en nuestra base de marketing o formará parte de los informes mensuales de juego responsable o en las bases de elaboración de perfiles. Por lo cual, la información está ahora bastante restringida.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 El día 25 de abril de 2023, se obtiene, mediante búsqueda realizada en el sitio web https://web.archive.org, el contenido histórico de la política de privacidad del sitio web de BWIN (“https://help.bwin.es/es/general-information/security/privacy-policy”), obteniendo los siguientes resultados:
  14. Se obtiene el contenido de esta política de privacidad anterior y más cercano a la fecha en que se presentó la primera solicitud de borrado de sus datos, que es de fecha de 17 de mayo de 2017, y que contiene la siguiente información en el apartado “
  15. SUPRESIÓN DE DATOS PERSONALES”: “Usted podrá solicitar en todo momento que rectifiquemos cualquier dato personal incorrecto que tengamos sobre usted dirigiéndose a nosotros por escrito a ElectraWorks (España) Plc, i.e. Parklane Building, Level 1, Suite 2, Triq Joe Sciberras, Hamrun, Malta. Asimismo, usted podrá solicitar la cancelación de sus datos personales, siempre que no estemos obligados a conservar dichos datos según lo previsto en la Ley del Juego 13/2011 y normas que la desarrollan, incluyendo la regulación sobre Licencias y Obligaciones de los Operadores en relativa a la conservación de datos por un plazo de seis

(6)años, en relación con todos los datos registrados de usuarios y movimientos de cuentas juego.” 8. Se obtiene el contenido de esta política de privacidad posterior y más cercano a la fecha en que volvió a solicitar la supresión de sus datos y le contestaron, que es de fecha de 9 de marzo de 2019, y que contiene en sus apartados “8. CONSERVACIÓN DE INFORMACIÓN PERSONAL” y “10. CON QUIÉN PONERSE EN CONTACTO” el mismo contenido que había en la política de privacidad presentada como anexo al escrito presentado el día 29 de septiembre de 2022 ante la AEPD en nombre de ELECTRAWORKS. FUNDAMENTOS DE DERECHO I De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 II El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, indicando lo siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  2. b)los datos de contacto del delegado de protección de datos, en su caso;
  3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17
  10. d)el derecho a presentar una reclamación ante una autoridad de control;
  11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  12. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” III En el presente procedimiento sancionador el reclamante se dirigió al responsable del portal web BWIN para solicitar la supresión de sus datos personales, pero solo consiguió que le dieran de baja de las comunicaciones comerciales. Tras insistir, volvieron a rechazar su petición diciendo que los datos se han de conservar por 10 años, y le instan a volver a realizar la solicitud pasado ese plazo. De acuerdo con los hechos expuestos, esta Agencia ha podido constatar que la primera solicitud de supresión de sus datos realizada por el reclamante fue el 22 de noviembre de 2017, y el 27 de marzo de 2019. En relación con la política de privacidad, ha de indicarse que la establecida en los años 2017 y 2019 es la que continuaba vigente en el momento en que el reclamado adjuntó a su contestación el 29 de septiembre de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 Concretamente, en la página 44 de las disposiciones generales de la política de privacidad, remitidas por la parte denunciada, en su cláusula 8 se establecen los criterios para la conservación de los datos personales de la siguiente manera: “8. CONSERVACIÓN DE INFORMACIÓN PERSONAL El periodo durante el cual podremos conservar datos sobre ti dependerá de los fines por los que se recopilaron, de si has solicitado el borrado de los datos y de si hay cualquier obligación legal que requiera la conservación de los datos (por ejemplo, por cumplimiento regulatorio). Conservaremos datos sobre ti durante al menos el tiempo necesario para cumplir con los fines por los que los datos se recopilaron. En los casos en los que tratamos tu información personal con fines de marketing o con tu consentimiento, tratamos la información personal hasta que nos pidas que dejemos de hacerlo y por un periodo corto de tiempo después de esto (para permitirnos implementar tu solicitud). También guardamos un registro del hecho de que nos hayas pedido que no te enviemos marketing directo o que no tratemos tu información personal indefinidamente, de forma que podamos respetar dicha solicitud en el futuro. En los casos en los que tratemos tu información personal para cumplir con nuestras obligaciones legales, lo haremos de conformidad con todo periodo de conservación que así especifique la ley aplicable.” En las contestaciones dadas al reclamante el 27 de marzo de 2019, se le informa sobre el periodo de conservación de sus datos personales de la siguiente manera: “Los datos personales que almacene en nuestra base de datos podrán ser borrados bajo solicitud una vez transcurra el periodo mínimo de garantía legal de 10 años estipulado en nuestros requisitos de licencia, luego de haber cerrado su cuenta. No es posible borrar sus datos antes de que expire dicho periodo, dado que dicha información tiene que estar disponible para su seguridad en caso de que se requiera en supuestos de inejecutabilidad, ejercicio o defensa de demandas legales por parte de las autoridades o tribunales. Sus datos personales no se utilizarán con otros fines.” La parte reclamada declara que los datos personales del reclamante se suprimirán automáticamente cuando lleguen a la fecha de fin del periodo de retención (“Retention Period End Date”). Por lo tanto, se considera que estamos ante una infracción del artículo 13 del RGPD, indicado en el fundamento de derecho II, tipificada como leve en el art. 74.
  13. a)a efectos de prescripción, porque en ninguna de sus políticas de privacidad incluida la actual se informa de forma adecuada de los extremos del art. 13.2.a), es decir, del plazo de conservación de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 Esto es así porque los datos tienen que conservarse para cumplir con una obligación impuesta por la ley de blanqueo de capitales pero no se informa a los interesados ni de los plazos ni de los criterios. Se utiliza la siguiente fórmula genérica “En los casos en los que tratemos tu información personal para cumplir con nuestras obligaciones legales, lo haremos de conformidad con todo periodo de conservación que así especifique la ley aplicable.” En este sentido, el Grupo de Trabajo del artículo 29 Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679 señala que: “El plazo de conservación (o los criterios para determinarlo) puede estar dictado por factores como requisitos preceptivos o directrices de la industria, pero debe formularse de tal forma que el interesado pueda evaluar, en función de su propia situación, cuál será el plazo de conservación para datos/fines específicos. No basta con que el responsable del tratamiento indique, en términos genéricos, que los datos personales se conservarán tanto tiempo como sea necesario para los fines legítimos del tratamiento. Cuando proceda, deben estipularse plazos de conservación distintos para las distintas categorías de datos personales o los distintos fines de tratamiento, también, en su caso, plazos de archivo”. Se considera por tanto insuficiente la información aportada sobre el plazo de conservación por la parte denunciada, ya que podrían informar al menos de la ley que impone el deber de conservación para que los interesados puedan conocer el plazo durante el cual se conservarán sus datos. IV De conformidad con los indicios de los que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, los hechos descritos supondrían una infracción de lo dispuesto en el artículo 13 del RGPD, tipificada en el artículo 83.5 del mismo texto legal que dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. b)los derechos de los interesados a tenor de los artículos 12 a 22; […]” A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera como leve y prescribe al año, conforme al artículo 74
  15. a)de la LOPDGDD, que establece que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83, del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  16. a)El incumplimiento del principio de transparencia de la información o el derecho de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  17. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  18. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
  19. i)del citado Reglamento es compatible con la sanción consistente en multa administrativa. VI La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
  20. k)del citado artículo 83.2 RGPD. El artículo 83.2 del RGPD establece que: “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  21. a)a
  22. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  23. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  24. b)la intencionalidad o negligencia en la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17
  25. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  26. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  27. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  28. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  29. g)las categorías de los datos de carácter personal afectados por la infracción;
  30. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  31. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  32. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  33. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” En el presente caso, sin perjuicio de lo que resulte de la instrucción, se han tenido en cuenta, como agravante la clara intencionalidad de la entidad reclamada para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 comisión de los hechos objeto de este procedimiento sancionador, según el artículo 83.2
  34. b)del RGPD, es decir, vulnerar el artículo 13.2
  35. a)del RGPD, al no informar del plazo de conservación de los datos personales de la parte reclamante al hacerlo de una forma genérica, sin indicar siquiera de la ley que impone el deber de conservación para que los interesados puedan conocer el plazo durante el cual se conservarán sus datos. Asimismo, otro agravante a tener en cuenta según el artículo 76 de la LOPDGDD, es la vinculación de la entidad reclamada con el tratamiento de datos personales. Por todo ello, se considera que la sanción que correspondería imponer sería de 10.000 euros. VII De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  36. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ELECTRAWORKS CEUTA, S.A., con NIF A67870402, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de la citada norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 SEGUNDO: NOMBRAR como instructora a R.R.R. y, como secretario, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  37. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 10.000 euros QUINTO: NOTIFICAR el presente acuerdo a ELECTRAWORKS - CEUTA, S.A., con NIF A67870402, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  38. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000 euros o 6.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-170223 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 24 de junio de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202306268, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a ELECTRAWORKS - CEUTA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  39. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.