PS-00217-2023

(3)llamadas al teléfono del Servicio al Cliente de PIBANK, según manifiesta la Reclamante, no habían sido efectuadas por ella. Posteriormente, según indica la Sra. A.A.A., el día 28 de septiembre de 2021, intentó acceder a la Banca Online de PIBANK, averiguando que su contraseña habitual generaba error de acceso, motivo por el que se pone en contacto con el Servicio al Cliente de PIBANK, a través del número de contacto 911110000, con el fin de recuperar sus claves de la Banca Online. Cuando un cliente solicita la recuperación de claves a la Banca Online en la Entidad, el operador que atiende la llamada tiene que realizar una serie de preguntas de seguridad articuladas como mecanismos de defensa de identificación de clientes, realizándole al cliente preguntas cuya respuesta sería sencilla de recordar para ellos, pero al mismo tiempo sean difíciles de adivina por cualquier otra persona. (…): o (…) o (…) o (…) o (…) o (…) o (…) o (…) o (…) (…). (…). En relación con lo anterior, cabe destaca que, en el momento de los hechos, el Banco tenía externalizados los servicios de atención al cliente con la entidad GLOBAL SALES SOLUTIONS LINE, S.L…quien se encargaba entre otras cuestiones de atender las llamadas entrantes a la Entidad…”. “…Pese a que, como se ha evidenciado, el Banco había reiterado en diferentes ocasiones, y por distintos medios, a su Proveedor cual era el procedimiento para que un cliente pudiese recuperar sus claves de la Banca Online, así como las instrucciones específicas relativas al modus operandi de los operadores ante situaciones en las que el cliente no responde de manera acertada y con claridad a las preguntas efectuadas, en la llamada efectuada por el operador de GSS a la Sra. A.A.A. el día 6 de septiembre de 2021 a las 12:13 horas, dicho operador no cumple estrictamente con el protocolo establecido por la Entidad, puesto que, (…), el operador continúa realizando más preguntas a la Reclamante, iniciando, finalmente, el proceso de envío automático del correspondiente código OTP por SMS al número de teléfono que la Denunciante proporcionó al Banco en el momento de la apertura de cuenta (recordemos que dicho número fue verificado por la propia Reclamante en el momento de la contratación, tal y como ha sido expuesto ut supra), y que le permitiría realizar el cambio de contraseña de la Banca Online. Al respecto, es interés de la Entidad poner en conocimiento de esta Agencia que, a pesar de tratarse de una llamada, que posteriormente, fue considerada como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/30 fraudulenta, hecho del que el Banco tuvo conocimiento a posterior, a través de las comunicaciones efectuadas por la Reclamante días después, el Banco puso a disposición del Proveedor todas las herramientas necesarias para cumplir estrictamente con la normativa vigente, y no habiendo detectado ningún indicio de irregularidad que le llevase a desconfiar de una posible contratación fraudulenta. En este sentido, el Banco considera que, de haber un incumplimiento, éste sería imputable a GSS, toda vez que el artículo 28.10 RGPD establece que: “si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento respecto a dicho tratamiento.” A la luz de lo anterior, y tal y como ha quedado evidenciado, el Proveedor, incumplió las instrucciones facilitadas por el Banco, debiendo en este caso adquirir la condición de responsable del tratamiento…”. TERCERO: Con fecha 20 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad BANCO PICHINCHA ESPAÑA, S.A. es una mediana empresa constituida en el año 2010, y con un volumen de negocios de 45.135.000 euros en el año

1. QUINTO: Con fecha 2 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, solicita se tenga por presentado junto con los documentos que se acompañan, se admitan y teniendo por formuladas las anteriores alegaciones, y previo los trámites oportunos, se acuerde: - - El archivo del expediente referenciado dejando sin efecto el procedimiento sancionador iniciado. En el supuesto de que la anterior pretensión no sea acogida por la Agencia, se solicita que se tenga en cuenta las circunstancias atenuantes fundamentadas y, consecuentemente, culmine el procedimiento mediante un apercibimiento. En el hipotético caso de que finalmente ninguna de las anteriores pretensiones fuera acogida por la AEPD; en última instancia, se solicita que se proceda a minorar las cuantías establecidas en el Acuerdo, atendiendo a los argumentos manifestados en el cuerpo del escrito. En sus alegaciones, en síntesis, la parte reclamada aduce: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/30 1.- En su primera alegación, BANCO hace referencia a que ha contado, en todo momento, con legitimación suficiente y adecuada para el tratamiento de los datos personales de la parte reclamante como consecuencia de la formalización, gestión y ejecución de la relación contractual mantenida por ambos. En relación a la suplantación considera que la Agencia debería imputar una infracción del artículo 6 en relación con el artículo 7 del RGPD a aquel que obtuvo y empleó los datos de la parte reclamante para obtener un beneficio ilícito. También BANCO señala que procedió inmediatamente a la devolución de las cantidades sustraídas, a pesar del sobreseimiento judicial de las actuaciones. Por último, se hace referencia a distintas resoluciones de archivo de la Agencia Española de Protección de Datos. 2.- En su segunda alegación, BANCO procede a analizar la desproporcionalidad de la sanción, así como los gravantes aplicados en la graduación de la sanción, señalando como atenuantes a efectos de reducir la sanción administrativa: - Que la entidad actuando de buena fe, diligencia y proactividad, solventó la incidencia objeto de reclamación de forma efectiva. - La ausencia de facilitación de los datos de carácter personal de la parte reclamante a un tercero junto con los procedimientos instaurados por parte de la mercantil. - La inexistencia de presuntas infracciones previas. - El alto grado de cooperación con el fin de ofrecer y poner a disposición de este organismo toda información que constaba a su disposición. - Que la entidad nunca facilitó ningún dato de carácter personal al suplantador de identidad. - Que la entidad nunca ha obtenido ningún tipo de beneficio. Finalmente, deja constancia que las medidas vigentes en el momento de los hechos cumplían las normas más rigurosas para hacer frente a los riesgos y que eran adecuadas e idóneas teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. Si bien, se desestimaron las alegaciones presentadas. SÉPTIMO: Con fecha 8 de agosto de 2024 se formuló propuesta de resolución, proponiendo se sancione a BANCO PICHINCHA ESPAÑA, S.A., con NIF A85882330, por una infracción del Artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 50.000 € (CINCUENTA MIL EUROS). OCTAVO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito alegaciones, en fecha 21 de agosto de
2. En sus alegaciones, en síntesis, la parte reclamada manifiesta:
3. En su primera alegación, BANCO insiste en que siempre ha tratado los datos de carácter personal de Dña. A.A.A. (en adelante, indistintamente, la “Reclamante”) sobre una base jurídica adecuada de conformidad con lo establecido por el artículo 6 del RGPD y apunta que quien trató los datos sin legitimación suficiente y, por tanto, quien debiera haber contado con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/30 consentimiento de la Reclamante para su debido tratamiento fue el suplantador, incurriendo la AEPD en un error por lo dispuesto en la Propuesta de Resolución. Por último, en esta misma alegación hace referencia a que la AEPD no ha seguido el mismo criterio del Juzgado de Instrucción nº2 de Albacete en relación al sobreseimiento, así como al principio certidumbre y al principio de indubio pro reo.
4. En su segunda alegación, BANCO insiste en la ausencia cualquier tipo de responsabilidad por las acciones llevadas por GSS, como encargado del tratamiento.
5. En su tercera alegación, BANCO hace referencia a jurisprudencia que ha venido determinado que una acción no puede ser sancionada sin que exista cierto grado de intencionalidad, así como que la existencia de una infracción culpable constituye un requisito para la imposición de una multa.
6. Por último, BANCO alega el principio de proporcionalidad manifestando que la sanción propuesta no procede y, en el hipotético caso de que procediese, no resultaría proporcional al supuesto de hecho que nos ocupa. Finaliza su escrito de alegaciones señalando que adjunta dos justificantes de ingresos realizados a favor de la AEPD, de 40.000 € y 10.000 € respectivamente, y los motivos por los que ha realizado dichos pagos. Es taxativo en que los mismos no son un reconocimiento de los hechos imputados, sino que lo que se pretende es evitar posibles futuros devengos de intereses. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta en el expediente reclamación de fecha 20 de enero de 2023 en la que la parte reclamante manifiesta que su número de teléfono ***TELÉFONO.1, fue clonado por parte de la mercantil DIGI SPAIN TELECOM, S.L.U. ("DIGI"); ya que, el 4 de septiembre de 2021, una tercera persona, solicitó la clonación del teléfono suplantando la identidad de la parte reclamante, con la finalidad de realizar llamadas a la entidad bancaria BANCO PICHINCHA ESPAÑA, S.A. y así llevar a cabo ciertas operaciones bancarias. SEGUNDO: Consta en el expediente y así lo manifiesta la parte reclamante, que en fecha 7 de septiembre de 2021, con motivo de que su teléfono le venía dando problemas, solicita a su operador de telefonía una copia de su tarjeta SIM, así como un listado de las llamadas salientes efectuadas desde su número de teléfono, comprobando que se habían realizado tres

(3)llamadas al teléfono del Servicio al Cliente de PIBANK, según manifiesta la Reclamante, no habían sido efectuadas por ella. TERCERO: Consta en el expediente y así lo manifiesta BANCO que, tras hacer las comprobaciones oportunas, efectivamente, constan tres llamadas desde el Servicio al Cliente de PIBANK al número de teléfono de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/30 CUARTO: Consta en el expediente y así lo manifiesta la parte reclamada que en la llamada efectuada por el operador de GSS a la parte reclamante el día 6 de septiembre, dicho operador no cumple estrictamente con el protocolo establecido por BANCO, puesto que “la supuesta clienta” indicaba en la llamada que desconocía el saldo que tenía en su cuenta bancaria, así como dudas sobre su profesión. QUINTO: Consta probado en el expediente que, como consecuencia de la llamada del 6 de septiembre se inicia el proceso automático del correspondiente código OTP por SMS, permitiendo el cambio de contraseña de la Banca Online y llevando a cabo distintas operaciones financieras. SEXTO: Consta probado en el expediente que la entidad GSS es un proveedor de BANCO para la prestación de servicios avanzados de gestión de clientes, en virtud de contrato de prestación de servicios suscrito por ambas entidades en fecha 25 de junio de 2019. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/30 automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En este sentido, debe recordarse que el BANCO, es responsable del tratamiento de los datos personales y; por tanto, determina los fines y medios del tratamiento de los datos personales. III Alegaciones a la propuesta de resolución En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente, según el orden expuesto: La entidad reclamada alega: 1. MANIFIESTA INCONGRUENCIA INTERNA DE LA PROPUESTA DE RESOLUCIÓN DICTADA Y DE LA MANIFIESTA VULNERACIÓN DEL DERECHO A LA TUTELA JUDICIAL EFECTIVA Tal y como se ha venido trasladando a esta Agencia a través de los distintos escritos presentados, BANCO PICHINCHA siempre ha tratado los datos de carácter personal de Dña. A.A.A. (en adelante, indistintamente, la “Reclamante”) sobre una base jurídica adecuada de conformidad con lo establecido por el artículo 6 del RGPD. En este sentido, debe traerse a colación lo dispuesto en la Propuesta de Resolución por la AEPD y que saca a relucir el manifiesto error en el que ha incurrido, dicho sea, con el debido respeto y en términos de estricta defensa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/30 Para sorpresa de esta parte, la AEPD omite hacer referencia a que es el suplantador quien debería contar con ese consentimiento, puesto que es quien obtuvo y empleó los datos de carácter personal de la reclamante para obtener un beneficio ilícito, sin que el encargado del tratamiento, GLOBAL SALES SOLUTIONS LINE, S.L (en adelante, indistintamente, “GSS” o el “Encargado del Tratamiento”) ni la Entidad tuviesen que contar con dicho fundamento jurídico para ejecutar las acciones correspondientes a la relación contractual, teniendo en cuenta que dicha acción consistía en suplantar la identidad de la ahora Reclamante. En consecuencia, es claro que, si GSS o la Entidad hubiesen contado con el consentimiento, el tipo relativo a la suplantación de identidad implicaría un desvanecimiento del objeto que ha dado lugar a la apertura del presente procedimiento, así como la denuncia penal junto con el sobreseimiento del correspondiente proceso. De la anterior captura de pantalla se desprende la incongruencia en la que se ha incurrido por parte de la Agencia, al considerar que los datos tratados de la Reclamante fueron sin legitimación suficiente, cuando BANCO PICHINCHA mantenía una relación contractual con la misma que le habilitaba a su adecuado tratamiento. Cuestión distinta es que el suplantador no contaba con el consentimiento de la Reclamante y, valiéndose de la información obtenida a través de terceros alcanzó la finalidad perseguida como consecuencia de un error por parte del Encargado del Tratamiento respecto del cumplimiento del protocolo de seguridad (en adelante, el “Protocolo”) aportado por esta parte en las alegaciones al acuerdo de inicio de procedimiento sancionador. Protocolo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/30 que atestigua que la Entidad contaba con medidas de seguridad técnicas y adecuadas que permitían garantizar el adecuado tratamiento de los datos de carácter de los clientes de conformidad con lo establecido en el artículo 32 del RGPD. En conclusión, tal y como se desprende de la siguiente captura de pantalla, quien trató los datos sin legitimación suficiente y, por tanto, quien debiera contar con el consentimiento de la Reclamante para su debido tratamiento fue el suplantador: En contestación a lo alegado, esta Agencia Española de Protección de Datos debe insistir en el hecho de que, en ningún momento, este organismo ha puesto en duda la relación contractual existente entre las partes y la legitimación de BANCO en el tratamiento de los datos personales de la parte reclamante necesarios en la contratación de los productos y servicios financieros de este como consecuencia de la formalización, gestión y ejecución de la relación contractual contraída por ambos. Ahora bien, en el presente caso ha quedado acreditado que las operaciones realizadas no se han llevado a cabo dentro del ámbito de la relación contractual a la que alude el BANCO, puesto que, han sido realizadas por un tercero, sin que el BANCO verificara adecuadamente la identidad de su interlocutor, dando lugar a un tratamiento de los datos personales de la parte reclamante sin legitimación. BANCO continúa diciendo, Por último, huelga llamar la atención sobre la total omisión respecto a la conclusión alcanzada en el Auto dictado, en fecha 24 de noviembre de 2022, en las Diligencias Previas del Procedimiento Abreviado (…) por el Juzgado de Instrucción (…), donde se concluyó que la perpetración del delito nunca fue debidamente justificada, razón por la cual se acordó el sobreseimiento de las actuaciones, no compartiendo este mismo criterio la AEPD. Por todo ello, es importante resaltar que el derecho a la presunción de inocencia, incluso en el ámbito del derecho administrativo sancionador (SSTC 45/1997, de 11 de marzo, y 237/2002, de 9 de diciembre), no se opone a que la convicción del órgano sancionador se logre través de la denominada prueba indiciaria, declaración parecida a la efectuada por el Tribunal Europeo de Derecho Humanos. En este sentido, resulta relevante la distinción efectuada por la Sala de lo Contencioso-administrativo, Sección 1ª de la Audiencia Nacional, que recoge en su Sentencia de 25 de junio la diferenciación entre la prueba de indicios y las meras sospechas o conjeturas: Más cuando se trata de la denominada prueba de indicios la exigencia de razonabilidad del engarce entre lo acreditado y lo que se presume cobra una especial trascendencia, pues en estos casos es imprescindible acreditar, no sólo que el hecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/30 base o indicio ha resultado probado, sino que el razonamiento, en virtud del cual, partiendo de los indicios probados, se ha llegado a la conclusión de que el imputado realizó la conducta infractora, es coherente, lógico y racional. En suma, ha de estar asentado en las reglas del criterio humano o en las reglas de la experiencia común. Es ésa, como hemos dicho, la única manera de distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas, debiendo estar asentado el engarce lógico en una «comprensión razonable de la realidad normalmente vivida y apreciada conforme a los criterios colectivos vigentes» (SSTC 45/1997, de 11 de marzo, F. 5 ; 237/2002, de 9 dediciembre, F. 2 , y 135/2003, de 30 de junio , F. 2, por todas). Y es que ello se encuentra íntimamente ligado, tal y como recoge la Ilma. Audiencia Nacional, Sección 1ª, de Sala de lo Contencioso en la sentencia recaída en el recurso de casación 104/2021, de fecha 23 de diciembre de 2022, al principio de certidumbre que debe regir cualquier proceso de conformidad con lo establecido por el artículo 25. 1 de la CE. Así las cosas, resulta aplicable al caso de autos la doctrina establecida en nuestra sentencia de 29 de abril de 2019. En dicha sentencia hacíamos referencia a los principios del procedimiento administrativo sancionador, como el de tipicidad, que según señala la STS de 28 de mayo de 2009 (Rec. 172/2003), conforme a reiterada doctrina del Tribunal Constitucional, "se traduce en la imperiosa exigencia de predeterminación normativa de las conductas ilícitas y de las sanciones correspondientes". Este principio es una proyección de la necesidad de certidumbre que debe guiar el ejercicio de la potestad sancionadora de la Administración que recoge el artículo 25.1 CE y cuyo fundamento se encuentra en el respeto de otros dos valores como son la libertad y la seguridad jurídica. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en su Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/30 En definitiva, los principios que rigen el procedimiento sancionador impiden imputar una infracción administrativa cuando no se haya practicado una mínima prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos de BANCO PICHINCHA aplicando el principio "in dubio pro-reo" en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. De acuerdo con este planteamiento y en aplicación de lo establecido por el artículo 53.2 de la LPACAP, esto se traduce en ausencia de responsabilidad administrativa por parte la Entidad y, por tanto, improcedencia de la sanción impuestas por infracción de lo establecido en el artículo 6.1 del RGPD ya que, de ninguna forma, se ha podido constatar por parte de la AEPD que finalmente la identidad de la Reclamante se vio suplantada. En contestación a lo alegado, este organismo debe dejar constancia de que es absolutamente respetuoso con la decisión judicial del sobreseimiento mediante Auto dictado, en fecha 24 de noviembre de 2022, en las Diligencias Previas del Procedimiento Abreviado (…) por el Juzgado de Instrucción (…). Si bien, debe dejarse constancia de que la ausencia de responsabilidad penal no conlleva la no responsabilidad administrativa. El auto de sobreseimiento libre dictado en un proceso penal no vincula a la Administración pública a la hora de imponer sanciones, porque, conforme ha declarado la AN, puede ser que unos mismos hechos no merezcan reproche penal, y sí administrativo. “el Tribunal Constitucional ha admitido que la circunstancia de que las diligencias penales hayan sido sobreseídas, como es el caso, no impide el enjuiciamiento en el ámbito administrativo, cuando se toman en cuenta normas aplicables de estructura finalista distinta y, por tanto, con eficacia o efectos diferentes (Sentencias 180/1988, de 11 de octubre, o 98/1989, de 1 de junio)”. También el TS, en su STS n.º 459/2017, de 15 de marzo, ECLI:ES:TS:2017:1186, recoge: “(...) no cabe sostener, como consecuencia del principio de que se trata, la prohibición genérica de un pronunciamiento administrativo sancionador, porque lo que excluye es la doble sanción y no el doble pronunciamiento. La sentencia penal absolutoria no bloquea las posteriores actuaciones administrativas sancionadoras, pero sus declaraciones sobre los hechos probados inciden necesariamente sobre la resolución administrativa (...)”. En cuanto al principio de certidumbre alegado por la entidad reclamada, La Real Academia Española, en su Diccionario del Español Jurídico define la presunción de certeza o veracidad como aquel valor probatorio reforzado que obliga al órgano con competencia para sancionar a entender que los hechos que declara son ciertos salvo prueba en contrario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/30 En el presente caso, consta en el expediente y así lo manifiesta la parte reclamada que en la llamada efectuada por el operador de GSS a la parte reclamante el día 6 de septiembre, dicho operador no cumple estrictamente con el protocolo establecido por BANCO, puesto que “la supuesta clienta” indicaba en la llamada que desconocía el saldo que tenía en su cuenta bancaria, así como dudas sobre su profesión. También consta probado en el expediente que, como consecuencia de la llamada del 6 de septiembre se inicia el proceso automático del correspondiente código OTP por SMS, permitiendo el cambio de contraseña de la Banca Online y llevando a cabo distintas operaciones financieras. Por tanto, tras el incumplimiento por esta tercera persona de las medidas de política de seguridad existentes, se facilitaron nuevas claves que permitieron el acceso a los datos personales de la parte reclamante, lo que evidencia un incumplimiento del deber de proteger la información de los clientes. Es más, BANCO reconoce el error trasladando la responsabilidad al Proveedor por incumplir las instrucciones facilitadas por el mismo. “…Pese a que, como se ha evidenciado, el Banco había reiterado en diferentes ocasiones, y por distintos medios, a su Proveedor cual era el procedimiento para que un cliente pudiese recuperar sus claves de la Banca Online, así como las instrucciones específicas relativas al modus operandi de los operadores ante situaciones en las que el cliente no responde de manera acertada y con claridad a las preguntas efectuadas, en la llamada efectuada por el operador de GSS a la Sra. A.A.A. el día 6 de septiembre de 2021 a las 12:13 horas, dicho operador no cumple estrictamente con el protocolo establecido por la Entidad, puesto que, pese a que la supuesta cliente indicaba en la llamada que desconocía el saldo que tenía en su cuenta bancaria, mostrando dudas en la respuesta a cuál era su profesión, el operador continúa realizando más preguntas a la Reclamante, iniciando, finalmente, el proceso de envío automático del correspondiente código OTP por SMS al número de teléfono que la Denunciante proporcionó al Banco en el momento de la apertura de cuenta (recordemos que dicho número fue verificado por la propia Reclamante en el momento de la contratación, tal y como ha sido expuesto ut supra), y que le permitiría realizar el cambio de contraseña de la Banca Online. Al respecto, es interés de la Entidad poner en conocimiento de esta Agencia que, a pesar de tratarse de una llamada, que posteriormente, fue considerada como fraudulenta, hecho del que el Banco tuvo conocimiento a posterior, a través de las comunicaciones efectuadas por la Reclamante días después, el Banco puso a disposición del Proveedor todas las herramientas necesarias para cumplir estrictamente con la normativa vigente, y no habiendo detectado ningún indicio de irregularidad que le llevase a desconfiar de una posible contratación fraudulenta. En este sentido, el Banco considera que, de haber un incumplimiento, éste sería imputable a GSS, toda vez que el artículo 28.10 RGPD establece que: “si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento respecto a dicho tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/30 A la luz de lo anterior, y tal y como ha quedado evidenciado, el Proveedor, incumplió las instrucciones facilitadas por el Banco, debiendo en este caso adquirir la condición de responsable del tratamiento…”. Por tanto, en el presente caso, no se puede hablar de indicios ni de meras sospechas o conjeturas, sino de hechos probados. Además, este organismo debe recordar a la entidad reclamada el principio de responsabilidad proactiva o accountability que el RGPD impone a todo responsable del tratamiento, principio que se define como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y sea capaz de poder demostrar que el tratamiento es conforme con el Reglamento, circunstancia esta última que no se ha dado en nuestro caso. En definitiva, este principio exige una actitud consciente, diligente y proactiva por parte de las organizaciones frente a todos los tratamientos de datos personales que lleven a cabo, actitud que no se ha dado en el presente caso. La entidad reclamada continúa diciendo, 2. SOBRE LA RESPONSABILIDAD DE GSS COMO ENCARGADO DEL TRATAMIENTO DE LA ENTIDAD En virtud de lo anterior, resulta incuestionable la improcedencia de irrogar cualquier tipo de responsabilidad frente a BANCO PICHINCHA por las acciones delictivas llevadas a cabo por un tercero que se valió de los datos del Reclamante para cometer actos delictivos frente al Encargado del Tratamiento, esto es GSS. Sobre este particular, el propio artículo 83 del RGPD, referente a las condiciones generales para la imposición de multas administrativas, recoge, entre otras menciones, las siguientes reglas:

1. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
2. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
3. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
4. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
5. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/30 3. Si un responsable o un encargado del tratamiento incumpliera de forma intencionada o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del presente Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves. En línea de lo anterior, la Agencia hace referencia en su Propuesta de Resolución al artículo 74 del RGPD en relación con el considerando 79, concluyendo que la responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. Y es que, en el presente asunto, ha quedado acreditado que BANCO PICHINCHA actuó con diligencia debida proporcionando todos los medios necesarios al Encargado del Tratamiento al efecto de que este diese pleno cumplimiento de la normativa que resulta de aplicación, sin que pueda eximirse de responsabilidad a GSS por los actos u omisiones que supongan una actuación ilícita, puesto que, de lo contrario, a todas luces se perdería el espíritu de lo establecido en los artículos 28 y 83 del RGPD. En definitiva, ninguna culpa puede asumir BANCO PICHINCHA por el quebrantamiento de lo establecido por el artículo 6.1del RPGD, habiendo sido omitidas, además, las alegaciones efectuadas por esta representación. Por lo tanto, en virtud de lo establecido por la normativa, junto con lo estipulado en la cláusula 7.3 del Contrato, el hecho de que GSS haya actuado por su cuenta, incumpliendo las obligaciones de lo pactado, lo convierte directamente en responsable del tratamiento de los datos de carácter personal de la Reclamante. En contestación a lo expuesto por la entidad reclamada, esta Agencia Española de Protección de Datos debe puntualizar y subrayar que en la Propuesta de Resolución se hace referencia al considerando 74 del RGPD y al considerando 79 del RGPD y no al artículo 74 del RGPD en relación con el considerando 79 del mismo texto legal. Este organismo debe insistir en lo dispuesto en el considerando 74 del RGPD que establece: Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas. Asimismo, el considerando 79 dice: La protección de los derechos y libertades de los interesados, así como la responsabilidad de los responsables y encargados del tratamiento, también en lo que respecta a la supervisión por parte de las autoridades de control y a las medidas adoptadas por ellas, requieren una atribución clara de las responsabilidades en virtud del presente Reglamento, incluidos los casos en los que un responsable determine los fines y medios del tratamiento de forma conjunta con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/30 otros responsables, o en los que el tratamiento se lleve a cabo por cuenta de un responsable. Por tanto, es claro que la responsabilidad última sobre el tratamiento sigue estando atribuida al responsable, que es quien determina la existencia del tratamiento y su finalidad. BANCO continúa diciendo que, 3. INEXISTENCIA DE INTENCIONALIDAD O NEGLIGENCIA POR PARTE DE BANCO PICHINCHA QUE PERMITA LA IMPOSICIÓN DE UNA MULTA ADMINISTRATIVA No es reciente la jurisprudencia establecida en nuestro país que ha venido determinando que para que una acción pueda ser sancionada, deberá existir y, por ende, la autoridad de control demostrar, puesto que sobre ella recae la carga de la prueba, que existe cierto grado de intencionalidad. (STC nº 76/1990 de 26 de abril). Asimismo, la Sentencia de la Sala de lo Contencioso-administrativo de la Audiencia Nacional, Sección 1ª, de 23 de diciembre de 2013, Rec. 341/2012: Efectivamente, en materia sancionadora rige el principio de culpabilidad (SSTC15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, ...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril, al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho. Y, en la misma línea, se pronunció la Audiencia Nacional, Sala de lo Contencioso, en su Sentencia de 25 de febrero de 2010, nº de Recurso 226/2009: La LOPD establece una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros, tal obligación no es absoluta y no puede abarcar un supuesto como el analizado. En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www.portalatino.com, descargándose una copia de esta. Y, tales hechos, no pueden imputarse a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/30 entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad. Tanto el presente asunto como el analizado en la Sentencia detallada tienen como denominador común una intrusión ilegal cometida por terceros con un alto grado de conocimientos informáticos y que actúan de forma organizada vulnerando de esta forma los principios recogidos en nuestro Código Penal. Dicho todo lo anterior, debe traerse a colación la reciente sentencia recaída en los asuntos C-683/21 | Nacionalinis visuomenės sveikatos centras y C-807/21 | Deutsche Wohnen, de 5 de diciembre de 2023, dictada por el Tribunal de Justicia de la Unión Europea (en adelante, “TJUE”) y que viene a disponer que se debe declarar la nulidad de las cuantías determinadas en el presente Procedimiento, al determinar que únicamente puede imponerse una multa si la presunta infracción se ha producido de forma intencionada o negligente. El Gobierno lituano y el Consejo de la Unión Europea deducen de ello que el legislador de la Unión pretendió dejar a los Estados miembros un cierto margen de apreciación en la aplicación del artículo 83 del RGPD, permitiéndoles prever la imposición de multas administrativas en virtud de dicha disposición, en su caso, sin que se acredite que la inf(…)No obstante lo anterior, esta interpretación extensiva de la potestad sancionadora que otorga el RGPD ha sido nuevamente categorizada como no aceptable, en concreto, por el TJUE, en sus recientes Sentencias relativas a los asuntos C-683/21[1] (Nacionalinis visuomenės sveikatos centras) y C-807/21[2] (Deutsche Wohnen). Y es que concretamente en el asunto C-683/2021, el TJUE estipula: El Gobierno lituano y el Consejo de la Unión Europea deducen de ello que el legislador de la Unión pretendió dejar a los Estados miembros un cierto margen de apreciación en la aplicación del artículo 83 del RGPD, permitiéndoles prever la imposición de multas administrativas en virtud de dicha disposición, en su caso, sin que se acredite que la infracción del RGPD sancionada con dicha multa se haya cometido deliberadamente o por negligencia. Tal interpretación del artículo 83 del RGPD no puede aceptarse. Y continúa: …nada en el tenor literal del artículo 83, apartados 1 a 6, del RGPD indica que el legislador de la Unión pretendiera dejar un margen de apreciación a los Estados miembros en cuanto a los requisitos materiales que debe cumplir una autoridad de control cuando decide imponer una multa administrativa a un responsable del tratamiento por una infracción contemplada en los apartados 4 a 6 de dicho artículo. Esta constatación también se ve corroborada por la lectura conjunta de los artículos 83 y 84 del RGPD. En efecto, el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/30 84, apartado 1, de dicho Reglamento admite que los Estados miembros conservan la facultad de determinar el régimen de otras sanciones aplicables, en caso de infracción de dicho Reglamento, en particular para las infracciones que no sean objeto de las multas administrativas previstas en el artículo 83. De esta lectura conjunta de dichas disposiciones se desprende, pues, que la determinación de las condiciones materiales en las que pueden imponerse tales multas administrativas es ajena a dicha competencia. Por lo tanto, dichas condiciones son competencia exclusiva del Derecho de la Unión. Por lo que respecta a estos requisitos, procede señalar que el artículo 83, apartado 2, del RGPD enumera los elementos en función de los cuales la autoridad de control impone una multa administrativa al responsable del tratamiento. La letra
6. b)de dicha disposición incluye el hecho de que la infracción se haya cometido intencionadamente o por negligencia. Por otra parte, ninguno de los factores enumerados en dicha disposición menciona la posibilidad de que el responsable del tratamiento sea considerado responsable en ausencia de conducta culpable por su parte. Así, el TJUE establece de forma expresa que ni el legislador nacional, ni la autoridad administrativa, tendrán capacidad para alterar o modificar los requisitos materiales que deben cumplirse para imponer una multa administrativa en virtud del RGPD. Y, dichas condiciones materiales, que deben concurrir necesariamente para la imposición de una sanción administrativa, se materializan en la actuación (u omisión) culpable o deliberada del responsable del tratamiento: Así pues, del tenor literal del artículo 83, apartado 2, del RGPD se desprende que sólo las infracciones de las disposiciones de dicho Reglamento cometidas de manera culpable por el responsable del tratamiento, es decir, las cometidas deliberadamente o por negligencia, pueden dar lugar a la imposición de una multa administrativa al responsable del tratamiento en virtud de dicho artículo. En consecuencia, procede declarar que el artículo 83 del RGPD no permite la imposición de una multa administrativa por una infracción contemplada en los apartados 4 a 6 de dicho artículo sin que se haya demostrado que dicha infracción ha sido cometida deliberadamente o por negligencia por el responsable del tratamiento y que, por lo tanto, la existencia de una infracción culpable constituye un requisito para la imposición de tal multa. Sólo es posible sancionar administrativamente con base en el RGPD cuando haya quedado debidamente acreditada por parte de la autoridad administrativa competente la concurrencia de una actuación culpable, intencionada (dolosa) o negligente por PARTE DE RESPONSABLE DE TRATAMIENTO, ALGO QUE NO HA SUCEDIDO EN EL PRESENTE PROCEDIMIENTO. Por tanto, no habiéndose acreditado la concurrencia de una actuación culpable, intencionada o negligente por parte de BANCO PICHINCHA, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/30 procede la identificación en la conducta de esta parte de una infracción de la normativa de protección de datos personales en virtud del RGPD. Teniendo en cuenta el contenido de esta alegación, interesa al derecho de esta parte se acuerde, por el órgano competente al que nos dirigimos, la suspensión de los efectos de la Propuesta de Resolución relativos a la consignación de las cuantías derivadas de la supuesta comisión de las infracciones tipificadas en el artículo 83.4 del RGPD en aplicación del artículo 117 de la LPACAP. En contestación a lo alegado, esta Agencia Española de Protección de Datos no puede estar más de acuerdo en que no cabe sanción económica si no hay concurrencia de intencionalidad o negligencia en la infracción. Pero yerra la parte reclamada al entender que no ha habido conducta negligente por su parte. A tal efecto, se hace necesario referirnos a la invocada Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C807/21 (Deutsche Wohnen), que indica: “76 A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” (el subrayado es nuestro). En la misma línea se expresan los órganos jurisdiccionales de nuestro país. Así, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Los hechos acontecidos ponen de manifiesto que BANCO no obró con la diligencia a la que venía obligada, que actuó con falta de diligencia. Entender lo contrario significaría: - En el caso de la infracción del artículo 32 del RGPD que el responsable del tratamiento nunca se responsabilizará de las actuaciones ilícitas, en materia de protección de datos personales, que realice su encargado del tratamiento, cuando ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/30 hemos indicado en el anterior fundamento de derecho que sí puede responder por tales actuaciones. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible”. A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (Sentencia de la Audiencia Nacional de 29 de junio de 2001). Continúa diciendo, la entidad reclamada, 4. VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD RESPECTO DE LA SANCIÓN ECONÓMICA PROPUESTA Esta parte considera que, habiendo quedado demostrado que BANCO PICHINCHA actuó de forma diligente, observando las obligaciones propias de un responsable del tratamiento y habiendo tratado conforme a Derecho los datos de la Reclamante, la sanción fijada por la AEPD resulta, a todas luces, desproporcionada y se aparta, notoriamente, de los principios establecidos por sentada jurisprudencia, en relación con la debida observancia de lo establecido por artículo 29 de la Ley 40/2015 de Régimen del Sector Público (en adelante, la “LRJSP”), el cual la AEPD determina que no le resulta de aplicación al régimen sancionador impuesto por el RGPD porque el RGPD es un sistema completo: El principio de proporcionalidad, como señala la STS de 2 de junio de 2003, tiende a adecuar la sanción, al establecer su graduación concreta dentro de los márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de antijuridicidad como de culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable y, en particular, como resulta del artículo 131.3 de la Ley 30/92, la intencionalidad o reiteración, la naturaleza de los perjuicios causados y la reincidencia. (STS 6 de junio 2007) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/30 Resulta preciso reiterar que, si bien la AEPD reseña de forma recurrente la valoración de las concretas circunstancias del supuesto de hecho, lo cierto es que no consta mención expresa a los elementos fácticos específicos en los que la AEPD identifica una falta de diligencia por mi representada, cuando en todo caso, ha sido el Encargado del Tratamiento, esto es, GSS quien ha incumplido las instrucciones del responsable del tratamiento. En consecuencia, debe aludirse al principio de culpabilidad que rige en el procedimiento sancionador (por todas, STC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre) y que determina que necesariamente ha de concurrir alguna clase de dolo o culpa por parte de la Entidad para esta ser sancionada, tal y como hemos referido en puntos precedentes. De este modo, debe referirse a lo establecido por el artículo 28 de la LRJSP, el cual dispone: Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa. En el mismo sentido, a pesar de las justificaciones expuestas por la AEPD, aunque el RGPD pueda prever que las sanciones impuestas puedan ser disuasorias, en ningún caso hace referencia a que sean confiscatorias. Al establecer los límites máximos de las sanciones, la norma se refiere a un tope de 20 millones de euros o un 4% de la facturación del responsable del tratamiento. Resulta obvio que el límite cuantitativo de 20 millones está estipulado para infracciones graves cometidas por entidades con una inmensa capacidad económica, a las que una sanción de menor cuantía podría no resultarle impeditiva para incumplir la norma. Sin embargo, este amplio margen cuantitativo que la norma debe recoger no puede servir de pretexto para imponer sanciones desproporcionadas apartándose así, notoriamente, de los principios establecidos por sentada jurisprudencia, en relación con la debida observancia de lo establecido por artículo 29 de la LRJSP: El principio de proporcionalidad, como señala la STS de 2 de junio de 2003, tiende a adecuar la sanción, al establecer su graduación concreta dentro de los márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de antijuridicidad como de culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable y, en particular, como resulta del artículo 131.3 de la Ley 30/92, la intencionalidad o reiteración, la naturaleza de los perjuicios causados y la reincidencia. (STS 6 de junio 2007). Por todo lo anterior, esta parte considera que la sanción propuesta no procede y, en el hipotético caso de que procediese, no resultaría proporcional al supuesto de hecho. Además, de acuerdo con el preámbulo 146 del RGPD, la imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/30 Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías. Dicho lo anterior, esta Agencia obvia que el mens rea se exige, por regla general, para imponer una sanción penal y que, por lo tanto, la responsabilidad objetiva constituye una especie de «excepción» a esta regla general, en la medida en que debe estar justificada a la luz de los objetivos perseguidos por el Reglamento. Por lo tanto, la AEPD-de manera unilateral- decide no aplicar los criterios capitales que rigen entre la falta y la sanción, concluyendo en una actuación discrecional, contraviniendo una vez más el principio de proporcionalidad, tal y como vino a establecer la Sentencia de Tribunal Supremo, Sala 3ª, de lo Contencioso-Administrativo, 27 de octubre de 1986: ...el principio de proporcionalidad impide la libérrima discrecionalidad de la Administración para elegir la sanción a imponer. Del mismo modo, alega la AEPD con base en las Directrices 04/2022 sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión 2.1, adoptadas el 24 de mayo de 2023 (en adelante, indistintamente, las “Directrices 04/2022” o las “Directrices”), que la cooperación debe ser considerada como un factor neutro y no atenuante. Sin embargo, la AEPD no toma en consideración el total de lo establecido por las Directrices 04/2022 al obviar lo siguiente: Sin embargo, cuando la cooperación con la autoridad de control haya tenido el efecto de limitar o evitar las consecuencias negativas para los derechos de los particulares que de otro modo podrían haberse producido, la autoridad de control puede considerar esto un factor atenuante en el sentido del artículo 83, apartado 2, letra f), del RGPD, reduciendo así el importe de la multa. Este puede ser el caso, por ejemplo, cuando un responsable o encargado del tratamiento «ha respondido de manera particular a las solicitudes de la autoridad de control durante la fase de investigación en ese caso concreto, lo que ha limitado significativamente el impacto en los derechos de las personas como resultado. Irrogar a BANCO PICHINCHA las responsabilidades del Encargado del Tratamiento, supone que la Agencia no ha tomado en consideración para adecuar el conjunto de circunstancias objetivas y subjetivas que integran los hechos lo que supone que, la sanción, ha sido determinada con base en las características de la Entidad y no con base en los hechos, algo que no solo es un fragrante incumplimiento del principio de proporcionalidad, sino que pone en tela de juicio el principio de seguridad jurídica, así como igualdad, vulnerándose de esta manera tanto el artículo 29 de la LRJSP, como el artículo 83 del RGPD. Así pues, cabe recordar que el Tribunal Superior de Justicia establece que: el principio de proporcionalidad, como señala la STS de 2 de junio de 2003, tiende a adecuar la sanción, al establecer su graduación concreta dentro de los márgenes posibles, a la gravedad del hecho constitutivo de la infracción, tanto en su vertiente de antijuridicidad como de culpabilidad, ponderando en su conjunto las circunstancias objetivas y subjetivas que integran el presupuesto de hecho sancionable y, en particular, como resulta del artículo 131.3 de la Ley 30/92, la intencionalidad o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/30 reiteración, la naturaleza de los perjuicios causados y la reincidencia. (STS 6 de junio 2007). Y es que nuevamente entra en juego el elemento recogido en el artículo 83.2.
7. b)del RGPD, relativo a la negligencia o culpabilidad, el cual no ha sido observado debidamente por la autoridad de control. En lo que respecta al agravante aplicado y relativo a la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, la Agencia se basa en que BANCO PICHINCHA en el ejercicio de su actividad financiera, debe contar con el consentimiento y legitimación en el tratamiento de los datos personales de sus clientes. Agravante a todas luces improcedente habida cuenta el adecuado tratamiento de datos de carácter personal llevado a cabo por la Entidad -hecho que ha quedado debidamente acreditado tal y como se desprende del Fundamento de Derecho III de la Propuesta de Resolución- ya que, como se ha expuesto ut supra, quien debía contar con legitimación suficiente para llevar a cabo el tratamiento de datos de la Reclamante era la persona suplantadora, deviniendo imposible concluir que BANCO PICHINCHA incumplió alguno de los fundamentos jurídicos establecidos en el artículo 6 del RGPD. Dicho lo anterior, nuevamente esta parte quiere hacer hincapié el hecho de que una entidad como BANCO PICHINCHA lleve a cabo un amplio volumen de tratamientos de datos de carácter personal y que esta sea la única reclamación existente, debería ser un aspecto positivo que valorar por esta Agencia. Aplicando el principio de proporcionalidad, la gravedad del hecho es prácticamente inexistente, teniendo en cuenta que se procedió a la devolución de las cuantías a la Reclamante, así como se ejecutaron acciones frente al Encargado del Tratamiento como consecuencia del incumplimiento de las instrucciones del responsable, lo que sin duda supone que los perjuicios causados son nulos y que la Entidad actuó bajo el principio de responsabilidad proactiva del artículo 5.2 del RGPD. El hecho de que BANCO PICHINCHA trate datos de carácter personal como consecuencia de su actividad no puede ser utilizado como un cajón de sastre. No puede, en efecto, reputarse que la misma cuantía de la sanción pecuniaria, variable en función de la intensidad del componente antijurídico de los hechos, siga siendo proporcionada se trate de dos o de dos mil casos: si los hechos por los que se declara procedente la sanción quedan finalmente reducidos, en virtud de los poderes de apreciación de la Sala, a un porcentaje ínfimo respecto de los que la Administración consideró probados, las exigencias del principio de proporcionalidad aplicado de modo constante por esta Sala (y ahora positivizado en materia sancionadora por el artículo 131 de la Ley 30/1992) impedían mantener la sanción tal como fue impuesta por la resolución impugnada. (Sentencia TS 6 de junio 2007) En este mismo sentido, el Tribunal Supremo en su Sentencia de 29 de julio de 2014 (Sala de lo Contencioso-Administrativo, Sección 1ª), señaló que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/30 El principio de proporcionalidad desempeña, en el ámbito del Derecho Administrativo Sancionador, un papel capital y ello no sólo en cuanto expresión de unos abstractos poderes de aplicación de la Ley en términos de equidad, sino por el hecho concreto de que las sanciones a imponer se encuentran definidas en nuestro ordenamiento, por lo general, de forma sumamente flexible, de tal modo que una misma conducta puede merecer la imposición de sanciones muy diversas y que se mueven en márgenes muy amplios y que, por lo mismo, pueden resultar, en la práctica, de cuantía y período extraordinariamente diversos. El principio de proporcionalidad impone que al no ser la actividad sancionadora de la Administración una actividad discrecional, sino una actividad típicamente jurídica o de aplicación de las normas, (así lo reconoce nuestro Tribunal Supremo en Sentencias de 23 de diciembre de 1981 [ RJ 1981, 5453], 3 de febrero de 1984 [ RJ 1984, 1027] y 19 de abril de 1985 [ RJ 1985, 1716]), los factores que han de presidir su aplicación estén en función de lo que disponga el Ordenamiento Jurídico en cada sector en particular y, muy especialmente, en las circunstancias concurrentes. La reciente sentencia Audiencia Nacional, Sala de lo Contenciosoadministrativo, Sección 1ª, Sentencia de 13 May. 2024, Rec. 2336/2021 Así pues, de acuerdo con tal principio de proporcionalidad, tomando en consideración la naturaleza y gravedad de la infracción, el número de afectados, el nivel de daños y perjuicios sufridos, la intencionalidad o negligencia, el grado de responsabilidad, las infracciones anteriores cometidas por la misma Vodafone, así como la categoría de los datos personales afectados y la vinculación de su actividad con la realización de tratamientos de datos personales, de todo ello concluye la Sala que resulta proporcionado reducir la sanción de multa administrativa impuesta (…) En contestación a las manifestaciones expuestas, en primer lugar, se ha de poner de manifiesto que el artículo 83.5 del RGPD dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Mientras que el artículo 83.4 del RGPD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/30 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
9. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” Por tanto, una multa de: - 50.000 euros, en el caso de la infracción del artículo 6.1 del RGPD, Se encuentran en el tramo inferior de las sanciones posibles, dando así cumplimiento al artículo 83.1 del RGPD anteriormente citado: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual, efectivas, proporcionadas y disuasorias.” Por último y en relación con el pago de las cuantías a las que se hace referencia en su escrito de alegaciones, parece necesario aclarar que en el derecho administrativo sancionador español no se contempla esta posibilidad. Y ello por cuanto, conforme a lo dispuesto en el artículo 88 de la LPACAP, la finalización de un procedimiento administrativo se produce con la resolución del mismo. En particular y en virtud de lo dispuesto en el artículo 90 de esa misma norma, en el caso de los procedimientos sancionadores la resolución que pone fin al procedimiento será ejecutiva cuando no quepa contra ella ningún recurso ordinario en vía administrativa, pudiendo adoptarse en la misma las disposiciones cautelares precisas para garantizar su eficacia en tanto no sea ejecutiva y que podrán consistir en el mantenimiento de las medidas provisionales que en su caso se hubieran adoptado. Pero es que además dicha ejecutividad se puede ver suspendida en el caso de que el interesado manifiesta a la Administración su intención de interponer recurso contencioso-administrativo contra la resolución firme en vía administrativa. Consecuentemente, el trámite de audiencia posterior a la emisión de la propuesta de alegaciones de un procedimiento sancionador no puede ser considerado nunca como el momento procesal oportuno para la consignación de una eventual sanción que todavía no ha adquirido firmeza. Es claro en este sentido el artículo 98 de la LPACAP, en el que se recoge referencia directa al nacimiento de la obligación de pago como consecuencia de la resolución del procedimiento y determina los medios a través de los cuales deberá satisfacerse. Por todo lo anterior y en aras a poder devolver el pago indebido, se solicita que se facilite cuenta bancaria a la que poder transferir las cuantías indebidamente pagadas. Por todo lo expuesto, se DESESTIMAN las alegaciones IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/30 Artículo 6. 1 del RGPD El artículo 6 del RGPD, establece, sobre la licitud del tratamiento de datos personales obtenidos de los usuarios que, el tratamiento de éstos solo será lícito si se cumple al menos una de las condiciones indicadas en su apartado primero, entre las que se encuentra, en su apartado a): “que el interesado haya dado su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos (…)”. En cuanto al tratamiento de datos basado en el consentimiento del interesado, el artículo 7 del RGPD indica que, el responsable del tratamiento deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales. Si el consentimiento se otorgara en el contexto de una declaración escrita que refiera también a otros temas, se obliga a que la solicitud de consentimiento se distinga claramente de los demás asuntos y se presente de forma inteligible, de fácil acceso y utilizando un lenguaje claro y sencillo. Se exige, además, que se le proporcione información adicional al interesado, entre otros, cuáles serán las categorías de datos a tratar, las finalidades para las que se solicita el consentimiento y el derecho a retirar el consentimiento en cualquier momento. En cuanto al modo de obtener el consentimiento del interesado para el tratamiento en cuestión, el considerando 32 del RGPD dispone que éste, “debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen” y que “el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento”. Asimismo, se exige que el consentimiento se otorgue “para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos”. Por último, establece que, “si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta”. Por su parte, el artículo 12.1 del citado RGPD establece, sobre los requisitos que debe cumplir la información que el responsable del tratamiento debe poner a disposición de los interesados al solicitarles el consentimiento, lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios (…)”. Los artículos 13 y 14 del RGPD detallan por su parte, la información que debe facilitarse al interesado cuando los datos son recogidos directamente de éste (art. 13), o a través de otros medios, (art. 14). En cualquier caso, la obligación de informar a las personas interesadas sobre las circunstancias relativas al tratamiento de sus datos recae sobre el responsable del tratamiento:
10. a)Si los datos se obtienen directamente del interesado, debe ponerse a su disposición la información en el momento en que se soliciten los datos, previamente a la recogida o registro y
11. b)si no se obtienen del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/30 propio interesado, se le debe informar antes de un mes desde que se obtuvieron los datos personales, o antes o en la primera comunicación con el interesado, o antes de que los datos (en su caso) se hayan comunicado a otros destinatarios. En el presente caso, constan distintas llamadas a la entidad bancaria BANCO para llevar a cabo ciertas operaciones, tras un cambio de credenciales, que supusieron un total de 50.000 euros trasferidos de la cuenta bancaria de la parte reclamante a otras cuentas. Todo ello, sin su autorización ni consentimiento, considerando que se ha vulnerado la normativa en materia de protección de datos de carácter personal. Los hechos denunciados se materializan en la suplantación de la identidad de la parte reclamante por un tercero. En el presente caso, según manifestación de la parte reclamante, se solicitó la clonación del teléfono y sin cumplirse correctamente el procedimiento de seguridad para el cambio de claves, un tercero realizó distintas llamadas a BANCO para llevar a cabo ciertas operaciones que supusieron un total de 50.000 euros trasferidos de su cuenta bancaria a otras cuentas. Para más abundamiento, BANCO reconoce el error trasladando la responsabilidad al Proveedor por incumplir las instrucciones facilitadas por el mismo. “…Pese a que, como se ha evidenciado, el Banco había reiterado en diferentes ocasiones, y por distintos medios, a su Proveedor cual era el procedimiento para que un cliente pudiese recuperar sus claves de la Banca Online, así como las instrucciones específicas relativas al modus operandi de los operadores ante situaciones en las que el cliente no responde de manera acertada y con claridad a las preguntas efectuadas, en la llamada efectuada por el operador de GSS a la Sra. A.A.A. el día 6 de septiembre de 2021 a las 12:13 horas, dicho operador no cumple estrictamente con el protocolo establecido por la Entidad, puesto que, pese a que la supuesta cliente indicaba en la llamada que desconocía el saldo que tenía en su cuenta bancaria, mostrando dudas en la respuesta a cuál era su profesión, el operador continúa realizando más preguntas a la Reclamante, iniciando, finalmente, el proceso de envío automático del correspondiente código OTP por SMS al número de teléfono que la Denunciante proporcionó al Banco en el momento de la apertura de cuenta (recordemos que dicho número fue verificado por la propia Reclamante en el momento de la contratación, tal y como ha sido expuesto ut supra), y que le permitiría realizar el cambio de contraseña de la Banca Online. Al respecto, es interés de la Entidad poner en conocimiento de esta Agencia que, a pesar de tratarse de una llamada, que posteriormente, fue considerada como fraudulenta, hecho del que el Banco tuvo conocimiento a posterior, a través de las comunicaciones efectuadas por la Reclamante días después, el Banco puso a disposición del Proveedor todas las herramientas necesarias para cumplir estrictamente con la normativa vigente, y no habiendo detectado ningún indicio de irregularidad que le llevase a desconfiar de una posible contratación fraudulenta. En este sentido, el Banco considera que, de haber un incumplimiento, éste sería imputable a GSS, toda vez que el artículo 28.10 RGPD establece que: “si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/30 medios del tratamiento, será considerado responsable del tratamiento respecto a dicho tratamiento.” A la luz de lo anterior, y tal y como ha quedado evidenciado, el Proveedor, incumplió las instrucciones facilitadas por el Banco, debiendo en este caso adquirir la condición de responsable del tratamiento…”. En consecuencia, se considera que los hechos conocidos son constitutivos de una infracción, imputable al BANCO, por vulneración del artículo 6.1 del RGPD, puesto que el tratamiento de los datos de la reclamante se ha llevado a cabo sin causa legitimadora al no haberse verificado correctamente que la persona a la que se facilitaban los mismos era su titular, siendo, de hecho, un tercero al que se le han facilitado los datos de la parte reclamante. V Tipificación de la infracción del artículo 6.1 del RGPD La citada infracción del artículo 6.1 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
12. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
13. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de legitimación establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/30 VI Sanción por la infracción del artículo 6.1 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -
14. b)la intencionalidad o negligencia en la infracción; En este mismo sentido, el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. [Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006)] Como agravantes:
15. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. El BANCO, en ejercicio de su actividad financiera, debe contar con el consentimiento y legitimación en el tratamiento de los datos personales de sus clientes. En consecuencia y a efectos del cumplimiento de los requisitos legalmente establecidos, el ejercicio de dicha actividad implica necesariamente el conocimiento y aplicación de la normativa vigente en materia de protección de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar una sanción de 50.000 € (CINCUENTA MIL EUROS). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a BANCO PICHINCHA ESPAÑA, S.A., con NIF A85882330, por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 50.000 € (CINCUENTA MIL EUROS). SEGUNDO: DECLARAR la falta de efectos de la consignación TERCERO: NOTIFICAR la presente resolución a BANCO PICHINCHA ESPAÑA, S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/30 CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
16. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/30 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es