← España

PS-00236-2024

1/23  Expediente N.º: EXP202303754 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 31 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202303754 Procedimiento Sancionador N.º: PS/00236/2024 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de julio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A con NIF A79227021 (en adelante, la parte reclamada/MAPRE INVERSIONES). Los motivos en que basa la reclamación son los siguientes: - - - Que es cliente, junto con su esposa (B.B.B.), de la entidad MAPFRE INVERSIONES, con la que se suscribió un contrato de gestión patrimonial que habilitaba a la entidad reclamada para gestionar los fondos que habían sido depositados, y realizar operaciones de inversión con los mismos, siempre previa autorización expresa de ambos, mediante firma manuscrita o electrónica. Manifiesta que, no obstante, en fecha 2 de junio de 2021, la parte reclamada ejecutó varias órdenes de traspaso del capital depositado adquiriendo seis fondos de inversión, sin su autorización, desconociendo el método que se empleó para suplantar su firma y consentimiento. Que fue el reclamante el que se percató de las 6 operaciones de inversión al consultar de forma casual la APP de MAPFRE INVERSIONES que se utiliza para la gestión de inversiones contratada. A la vista de lo ocurrido, el reclamante contactó con la parte reclamada y manifiesta que ésta reconoció su actuación irregular, remitiendo a la parte reclamante resguardos de los traspasos controvertidos, y manifestando en un correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 - electrónico de 26-11-21 que había existido una "mala praxis por parte del representante de la parte reclamada”, ofreciéndose a "rehacer la situación original antes de ejecutar las operaciones controvertidas, compensando el posible perjuicio económico de valoración". Que sigue la reclamada sin contestar acerca de las cuestiones formuladas por el reclamante respecto a los medios conforme a los cuales se ejecutaron esas instrucciones, desconociendo si se suplantaron sus firmas, o se produjo un uso fraudulento del certificado de Logalty (mecanismo utilizado para la firma electrónica de dichas operaciones), puesto que hasta el momento no le ha aportado los documentos de firma y consentimiento de dichas operaciones. Junto a la reclamación aporta: - - Documento 1. Capturas de pantalla de 12 órdenes de traspaso entre las que se encuentran las 6 órdenes de inversión controvertidas. Documento 2. Los resguardos de dichos traspasos que le aportó la reclamada. Documento 3. Listado de movimientos de la cartera de la cuenta obtenido a fecha de 15-6-21. Documento 4. Información fiscal correspondiente al ejercicio 2021 de la cartera que obra en la APP de MAPFRE. Documento 5. Copia de los mensajes de correo electrónico intercambiados entre la parte reclamante y reclamada, en los que aquella solicita explicaciones y esta contesta que han remitido el asunto al departamento correspondiente y que se encuentra pendientes de resolución. En concreto, se aportan correos de 17 de junio, 18 de junio, 23 de junio, 25 de junio, 3 de septiembre, y 6 de septiembre de 2021, intercambiados entre el reclamante y el director de Mapfre Gestión Patrimonial. Documento 6. Escrito presentado por la letrada del reclamante ante MAPFRE el 15 de noviembre de 2021. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de abril de 2023, como consta en el acuse de recibo que obra en el expediente. CUARTO: Con fecha de 4 de mayo de 2023 se recibe en esta Agencia escrito de respuesta de la reclamada indicando que: - La reclamada suscribió con el reclamante y la señora B.B.B. un Contrato marco de productos y servicios financieros con fecha de 28 de enero de 2018. - El 2-6-21 el agente que actuaba como representante de MAPFRE INVERSIONES (C.C.C., en adelante, el representante de Mapfre) recibió varias órdenes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 operaciones de inversión formuladas por el reclamante, y “siguiendo el procedimiento de ejecución de órdenes que a fecha de 2-6-21 estaba implantado en la entidad, el representante de MAPFRE INVERSIÓN optó por utilizar el sistema de firma en papel. En este contexto, el representante introdujo en el aplicativo de Mapfre Inversión su teléfono móvil profesional en el que recibió el código PIN, que le permitió firmar a través de LOGALTY las órdenes dadas por D. A.A.A., para que fueran ratificadas por el cliente a través de su firma manuscrita en papel”. - Manifiesta la reclamada que, por razones que se desconocen, pese a haber ordenado dichas operaciones, el reclamante se negó después a ratificar las operaciones que había ordenado mediante su firma manuscrita. - Tras varios intentos de solución, la reclamada remitió una comunicación al reclamante el 26-11-21 en la que se le ofreció la posibilidad de revocar las órdenes y compensarle por los perjuicios, sin que el reclamante contestase al respecto. - Que ha tenido conocimiento de que el reclamante ha procedido al reembolso de los fondos adquiridos entre los días 11 y 15 de junio de 2021, “ de modo que el resultado de las operaciones fue asumido por el reclamante, privando a Mapfre de la posibilidad de actuar en cualquier sentido con respecto a las mismas”. - Con el fin de mitigar las discrepancias que surjan en los procedimientos de firma en papel, la reclamada ha adoptado las medidas correctivas que han sido recomendadas por su Delegado de Protección de Datos Personales, con fecha de 15 de julio de 2021. - Que la controversia versa sobre las discrepancias existentes respecto a la forma y cumplimiento del contrato marco suscrito con los recurrentes, para cuya resolución existen otras vías, no concurriendo ningún incumplimiento en el tratamiento de la protección de datos personales de los recurrentes que sea competencia de esta Agencia. Se acompaña la siguiente documentación: - Documento 1. Contrato marco de productos y servicios financieros suscrito entre el reclamante y la entidad reclamada y documento de aceptación y firmas de 28 de enero de 2018. Documento 2. Correo electrónico remitido por la reclamada al reclamante de 26 de noviembre de 2021, donde hace referencia a la “mala praxis” del representante que ejecutó las 6 órdenes de inversión. Documento 3. Informe medidas correctivas implementadas por la reclamada. TERCERO: En fecha 31 de mayo de 2023 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación por no concurrir en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 dicho momento elementos probatorios suficientes de la concurrencia de una infracción que pudieran enervar el principio de presunción de inocencia. La resolución fue notificada a la parte recurrente, en fecha 9 de junio de 2023, según consta acreditado en el expediente. QUINTO: En fecha 4 de julio de 2023 el reclamante y la cotitular del mencionado contrato del que trae causa la relación entre reclamada y reclamante interponen un recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202303754, en el que muestra su disconformidad con la resolución impugnada y solicita que continúe la tramitación de la reclamación inicial presentada. En fecha 16 de febrero de 2024 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes. Tras la solicitud y concesión de ampliación de plazo para realizar alegaciones frente al recurso interpuesto, la reclamada presentó escrito de respuesta de fecha 1 de marzo de 2024, en el que: - - Da por reproducidas las alegaciones contenidas en su anterior escrito, insistiendo en que la controversia planteada debe resolverse por otras instancias o medios, por no ser competencia material de esta Agencia. Aclara que para ordenar las inversiones no se utilizaron en ningún caso las claves y Pin de los recurrentes ni la firma que consta para éstos el certificado Logalty, sino que el agente que las realizó utilizó su propia cuenta y claves de usuario. Añade que se celebró una reunión con el recurrente el 21-6-21 en la que este se negó a firmar la ratificación o la revocación de las órdenes de inversión, pese a que se le ofreció esta alternativa, por lo que no se dispone de ningún documento de ratificación de firma de estas operaciones por los recurrentes. Se acompaña contrato de representación suscrito por Mapfre Inversiones con el agente que se encargó de ejecutar estas operaciones de inversión como Documento 1. A la vista de las alegaciones y documentación aportadas por partes recurrente y recurrida, con fecha de 10 de mayo de 2024 se dicta Resolución por parte de la Directora de la Agencia Española de Protección de Datos, en la que se estima el recurso y se acuerda la admisión a trámite de la reclamación, puesto que al no haberse acreditado la ratificación de las operaciones de inversión por los recurrentes, concurren indicios de una posible falta de legitimación de la entidad reclamada para tratar los datos personales de los reclamantes al realizar las 6 operaciones de inversión controvertidas. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A de 27 de mayo de 2024, es una gran empresa constituida en el año 1989, y con un volumen de negocios de 52.959.024 € en el año 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El nombre, apellidos, NIF y los números de cuenta del reclamante y su esposa, que aparecen en las 6 órdenes de traspaso de capital y adquisición de fondos de inversión que fueron realizadas por la reclamada con cargo a la cuenta contratada por ambos , se consideran datos personales, cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, y 4.2 del RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta que la entidad reclamada ha realizado un tratamiento de datos personales al ejecutar en nombre del reclamante y su esposa 6 operaciones de traspaso de fondos para adquisición de capital obtenidas del fondo de inversión “LOW DURAT EURO COVER BC AC EUR” (en adelante, fondos de inversión) con fecha de 2 de junio de 2021, con cargo a la cuenta de efectivo que estos contrataron con MAPFRE INVERSIONES en el año 2018. Órdenes de traspaso de fondos que han sido aportadas como Documento 2 de la reclamación, y que han sido realizadas por el agente/representante (C.C.C.) de la entidad reclamada. La parte reclamada aporta dos contratos: - Contrato Marco de servicios y productos financieros de 28 de enero de 2018 suscrito entre MAPFRE INVERSIONE (la entidad) y el reclamante y su esposa (CLIENTES), que fue aportado como Documento 1 del escrito de respuesta al traslado (en adelante, Contrato Marco). - Contrato de Representación suscrito entre MAPFRE INVERSIONES y el representante C.C.C. (denominado Agente, o C.C.C.) con fecha de 28 de junio de 2019 (en adelante, Contrato de Representación). A la vista de la documentación aportada por ambas partes, no cabe lugar a dudas de que las mencionadas órdenes de traspaso o inversión realizadas por el agente de la reclamada fueron operaciones de tratamiento de datos personales, en el sentido previsto en el artículo 4. 2 del RGPD, toda vez que implicaron el acceso a las cuentas del reclamante y su esposa y la utilización de los datos personales que éstas contenían. Así pues, tal y como la parte reclamante acredita al aportar los resguardos de traspaso de fondos realizados por el agente de la reclamada para adquirir estas 6 inversiones, se puede apreciar que aparecen en los mismos: dos números de cuenta que son titularidad del reclamante y su esposa, que aparecen con su nombre, apellidos y NIF. Plantea la reclamada en los escritos presentados con fechas de 4 de mayo de 2023 y 1 de marzo de 2024 la existencia de una posible falta de competencia material de esta Agencia para conocer de los hechos enjuiciados, que, según la reclamada, versan sobre las discrepancias existentes entre las partes sobre ejecución del contrato suscrito que corresponde resolver a otras instancias u órganos, y no sobre el incumplimiento de la normativa de protección de datos personales. No obstante, cabe aclarar que las referidas órdenes de traspaso/inversión - cuya validez y efectos jurídicos corresponde determinar a otros órganos o instancias, como señala la reclamada- conllevaron necesariamente para su realización la ejecución de operaciones de tratamiento de datos personales a las que se ha hecho referencia, que están sometidas a determinados requisitos previstos en la normativa de protección de datos por parte del responsable del tratamiento, cuyo incumplimiento podría derivar en una infracción administrativa tipificada en la misma, cuya potestad sancionadora es competencia de esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 En este sentido, es aplicable a este supuesto la doctrina sentada por la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, se refleja, entre otras, en la SAN de 17 de octubre de 2007, o en la SAN de 3 de julio de 2007 (rec.232/2005), cuyo Fundamento de Derecho segundo dice: “Comienza el recurrente la defensa de su pretensión alegando la incompetencia de la Agencia de Protección de Datos ya que la controversia versa sobre la existencia o no de un determinado contrato y esta cuestión es de naturaleza esencialmente civil y, por consiguiente, sustraída a su competencia, según dispone el art. 37 de la LOPD. En realidad el Director de la Agencia de Protección de Datos no ha resuelto sobre la procedencia o improcedencia de la deuda, sino que su resolución se centra en considerar infringidos determinados preceptos de la LOPD, anudando como consecuencia a dichas infracciones la imposición de una sanción. Basta leer la parte dispositiva de la resolución impugnada para constatar lo que se acaba de afirmar. Y sin duda es plenamente competente para dictar esta resolución. Otra cosa es que para ejercer su competencia haya de realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de prejudicial, y sobre las que no podría adoptar una decisión definitiva con efectos frente a terceros. Si el principio de calidad del dato recogido en la LOPD exige que los datos tratados por un tercero referidos a una persona sean exactos y veraces, la Administración encargada específicamente de hacer cumplir esta normativa, a los solos efectos de considerar cumplido o infringido este principio puede hacer una valoración de exactitud y veracidad de un determinado dato, en este caso de la certeza de una deuda, sin que ello signifique un apartamiento de sus normas de competencia. Este motivo de impugnación debe ser rechazado”. La entidad reclamada es la responsable del tratamiento de los datos personales realizado en el supuesto presente, de acuerdo con lo previsto en el artículo 4. 7 del RGPD, que dispone lo siguiente: 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” En el presente supuesto, la reclamada manifiesta que contrató un representante o agente que se encargó de realizar en su nombre las mencionadas operaciones. Del contenido del Contrato de Representación suscrito con el reclamante se deduce sin lugar a dudas que la responsable del tratamiento de los datos personales gestionados por su agente es MAPFRE INVERSIONES. Así pues, del “Anexo para tratamiento de los datos de carácter personal” adjunto al Contrato de Representación, se deduce que es la entidad (MAPFRE INVERSIONES) la fija los medios y fines del tratamiento de los datos personales gestionados por el agente. Y en la Cláusula 10.5 del mismo, se indica que la entidad será responsable de la actuación del representante sin perjuicio de su derecho a iniciar acciones frente a este en caso de desviarse de lo pactado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 En consecuencia, en caso de confirmarse durante la instrucción que concurrió un tratamiento indebido (ilícito de acuerdo con lo previsto por el artículo 6.1 del RGPD) de los datos personales contenidos en la cuenta contratada por el reclamante y su esposa, será MAPFRE INVERSIONES, la presunta responsable a la que cabrá exigir responsabilidad administrativa por los presuntos incumplimientos cometidos, de acuerdo con lo previsto en el artículo 70. 1

  1. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  2. a)Los responsables de los tratamientos.
  3. b)Los encargados de los tratamientos.
  4. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
  5. d)Las entidades de certificación.
  6. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. III. Conducta infractora: falta de base de licitud del tratamiento. El tratamiento de los datos personales de las personas físicas por sus responsables debe estar presidido por los principios que relaciona el artículo 5 del RGPD, entre los que se encuentra el Principio de licitud y transparencia previsto en el apartado primero del mismo, que dispone: “1. Los datos personales serán:
  7. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); [...]” Además, el artículo 5.2 del RGPD indica que: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. En desarrollo de este principio, el artículo 6 del RGPD relativo a la “Licitud del tratamiento” determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  8. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  9. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23
  10. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  11. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  12. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  13. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  14. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Ello significa que es requisito obligatorio en materia de protección de datos que la entidad reclamada disponga de una de estas bases de licitud para poder realizar las operaciones de tratamiento de datos personales que se derivasen de las 6 operaciones de traspaso de fondos e inversión a las que se refiere el presente expediente. En principio, dada la existencia de una relación contractual entre reclamante y reclamada a través de la suscripción del Contrato Marco al que se ha hecho referencia en el Fundamento de Derecho anterior, cabe analizar si tales operaciones de tratamiento de datos personales podrían tener su base de licitud en la causa prevista en el artículo 6.1.
  15. b)del RGPD: “
  16. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. Al respecto de si el tratamiento enjuiciado era necesario para la ejecución del Contrato Marco suscrito por la reclamada y reclamante, la parte reclamante mantiene, en síntesis, que: - - De acuerdo con lo contratado, las operaciones de traspaso de fondos (operaciones de inversión) precisan de su previo consentimiento (y no la ratificación posterior) expresado a través de una firma electrónica o manuscrita, y que desde que contrató en el año 2018 con la reclamada siempre ha firmado electrónicamente todas las órdenes de traspaso para inversión a través de la APP de la misma, utilizando sus claves y firma electrónica. Que al consultar la citada APP, se percató de que el agente de la reclamada había ejecutado las 6 órdenes de traspaso sin recabar previamente su firma. Niega que, como dice la entidad, el reclamante o su esposa solicitasen la ejecución de estas inversiones previamente a la ejecución de las ordenes de traspaso. Que la reclamada le propuso ratificar dichas órdenes, a lo que se negó. Que en un correo electrónico de 26 de noviembre de 2021 la reclamada le reconoció que había habido una mala praxis del agente, y le ofreció ratificar las órdenes de traspaso o revocarlas a su opción, pero no le indicó cómo era posible que éste hubiera accedido a su cuenta sin disponer de sus claves, usuario y contraseña. Correo electrónico que se ha aportado al presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 Por su parte, la reclamada señala, en esencia, los siguientes argumentos relevantes para determinar si concurría base de licitud en el presente supuesto: - Respecto al proceso de ejecución de las órdenes: ““El 2-6-21 el agente que actuaba como representante de MAPFRE INVERSIONES (C.C.C.) recibió varias órdenes de operaciones de inversión formuladas por el reclamante”, y “siguiendo el procedimiento de ejecución de órdenes que a fecha de 2-6-21 estaba implantado en la entidad, el representante de MAPFRE INVERSIÓN optó por utilizar el sistema de firma en papel. En este contexto, el representante introdujo en el aplicativo de Mapfre Inversión su teléfono móvil profesional en el que recibió el código PIN, que le permitió firmar a través de LOGALTY las órdenes dadas por D. A.A.A., para que fueran ratificadas por el cliente a través de su firma manuscrita en papel.” - Que el procedimiento llevado a cabo en el marco de la relación contractual no comprometía y garantizaba plenamente sus derechos y voluntad, al requerir que la parte recurrente ratificara o revocara, mediante su firma, las ordenes que en su nombre y bajo sus instrucciones se hubieran ejecutado por el agente. - Para evitarle cualquier perjuicio en caso de que dichas operaciones no respondieran satisfactoriamente a sus instrucciones o estrategia de inversión pactada, se permite, y así se le ofreció en varias ocasiones, no sólo su revocación sino también ser restituido en la situación de balance y productos anteriormente constituida. Tanto en una reunión celebrada el 21-6-21, como en el correo electrónico antes mencionado de 26-11-21 se le ofreció tal solución sin que el reclamante se haya manifestado. - Señala que el agente no se apartó del procedimiento de emisión y firma de operaciones implementado en ese momento en la entidad, y que el sistema se ha modificado con posterioridad, precisamente para evitar este tipo de situaciones controvertidas. - Tras los hechos objeto de controversia, en fecha 15 de julio de 2021, se implementaron modificaciones en el procedimiento de firma de órdenes de operaciones en papel, tales como: establecer en 70 años la edad mínima del cliente para que pueda realizar la firma en papel en vez de vía LOGALTY, limitar los usuarios que pueden autorizar la impresión en papel, establecer un proceso de autorización previo a la gestión de la firma en papel, y limitar a un máximo de 24 horas la posibilidad de impresión una vez autorizado. En consecuencia, de los argumentos expuestos se deduce que no es cuestión controvertida, por haberse reconocido por ambas partes, la referida al hecho de que el representante contratado por MAPFRE INVERSIONES ejecutó el 2 de junio de 2021 un total de 6 operaciones de traspaso de fondos con cargo a la cartera de inversión y cuenta asociada del reclamante y su esposa. Tampoco es controvertido el hecho de que el representante de la entidad reclamada no recabó su autorización previa ni comunicó este hecho a los titulares de la cuenta, y que la reclamada le ofreció al reclamante ratificar o revocar posteriormente estas órdenes de traspaso, sin que el reclamante aceptase expresamente ninguna de estas dos opciones, interponiendo reclamación y pidiendo explicaciones sobre la custodia de los datos personales que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 reclamada estaba realizando, al haber permitido que su representante ordene dichas operaciones sin disponer de su firma electrónica o manuscrita. La cuestión controvertida principal del presente procedimiento se centra en determinar si de acuerdo con el contrato suscrito, era necesario obtener la autorización previa de los titulares de la cuenta para poder ejecutar las órdenes de traspaso/inversión que dieron lugar al tratamiento de datos personales contenidos en su cuenta, sobre el que versa el presente procedimiento. O si como plantea la reclamada, el agente estaba legitimado para ordenar electrónicamente el traspaso de fondos con sus propias claves y firma electrónica, y recabar posteriormente la ratificación de la firma manuscrita de los titulares de la cuenta, en papel. Pues bien, del análisis de la documentación obrante se desprenden varias evidencias que llevan a posicionarse a favor de la versión ofrecida por el reclamante. Las evidencias más significativas son las siguientes: - En primer lugar, la reclamada no niega expresamente que sea necesario recabar el consentimiento de los clientes, y pese a que manifiesta que el agente siguió el procedimiento establecido en dicho momento (que permitía al agente firmar las operaciones electrónicamente con sus claves y firma propia, y, tras haber ejecutado las mismas, recabar la firma manuscrita de los clientes en papel), incurre en diversas contradicciones que llevan a la conclusión contraria. Así pues, de acuerdo con sus propias manifestaciones y antecedentes documentados en el procedimiento, consta que la reclamada se disculpó ante el reclamante por la “mala praxis” del agente en el correo electrónico remitido al reclamante el 26 de noviembre de 2021, y mantuvo diversos contactos e incluso una reunión con el mismo el 21 de junio de 2021 con el reclamante al objeto de ofrecerle la opción de ratificar o revocar tales operaciones. Y por otro lado, señala que ha adoptado nuevas medidas para rectificar el citado procedimiento de ratificación posterior en papel, lo que implica un reconocimiento implícito de que éste estaba generando irregularidades. - El Contrato Marco establece la obligación de obtener el consentimiento o firma previa del cliente para autorizar operaciones de pago o realizar cualquier tipo de operación financiera con cargo a las mismas: Así pues, según la Estipulación Décima de las ESTIPULACIONES GENERALES del Contrato Marco, referida a “10.1.- AUTORIZACIÓN DE OPERACIONES DE PAGO se hace constar que: “Las operaciones de pago se considerarán autorizadas cuando el CLIENTE haya dado su consentimiento a las mismas, de conformidad con lo establecido en las presentes Estipulaciones Generales, así como en las respectivas Estipulaciones Particulares, para cada una de las operaciones de pago que el CLIENTE y la ENTIDAD hayan pactado.” Y por otra parte, en la Estipulación Séptima de las ESTIPULACIONES PARTICULARES SOBRE CUSTODIA Y ADMINISTRACIÓN DE LA CARTERA DE INVERSIÓN, se precisaba, así mismo: “Para que la ENTIDAD pueda utilizar por cuenta propia o por cuenta de otro cliente los instrumentos financieros que le haya confiado el CLIENTE o establecer acuerdos para operaciones de financiación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 valores sobre dichos instrumentos, el cliente debe dar su autorización expresa, por escrito y formalizado mediante su firma o mecanismo equivalente, por la que autorice a la ENTIDAD a utilizar sus instrumentos financieros en custodia con la finalidad prevista y expresamente aceptada en las condiciones particulares que se establezcan, en las que constarán: obligaciones y responsabilidad de la ENTIDAD (incluyendo la retribución a favor del CLIENTE por prestar sus valores), las condiciones de restitución y los riesgos inherentes. El uso de dichos instrumentos se restringirá a las condiciones previamente aceptadas por el CLIENTE.” - La reclamada señala que fue el reclamante el que inició el servicio, formulando las órdenes de inversión que fueron ejecutadas por el agente, lo que niega el reclamante, que dice haber sido conocedor de las mismas cuando ya estaban ejecutadas, al visualizarlas en la APP “Portal financiero MAPFRE”. Al respecto de esta cuestión controvertida, cabe señalar que la reclamada no ha aportado documentación que acredite que la orden de inversión partiera del reclamante, activándose el denominado “servicio de recepción, transmisión y ejecución de órdenes de inversión” que está previsto en el contrato marco. Sin que se refleje esta previa solicitud en los resguardos de traspaso de fondos, capturas de pantalla de las órdenes de inversión realizadas, y/o listados de movimientos que fueron aportados por el reclamante. - El procedimiento seguido por el agente para ordenar el traspaso no fue elegido por el cliente, tal y como se indica en el Contrato Marco: De acuerdo con la Estipulación Séptima de las Estipulaciones Generales del Contrato Marco, la prestación del consentimiento o autorización previa del cliente se podía obtener a través de dos posibles canales, que serán siempre a elección del cliente: canal presencial (firma manuscrita en la oficina), o a través de internet (con claves, usuario y firma electrónica en la APP “Portal financiero de Mapfre”): “(…) El proceso de alta del CLIENTE en la ENTIDAD y la firma del presente CONTRATO MARCO se llevará a cabo necesariamente a través del canal presencial, es decir, en la oficina MAPFRE de su representante. El presente CONTRATO MARCO no podrá ser firmado mientras el CLIENTE no haya presentado toda la documentación requerida por la ENTIDAD. No obstante lo anterior, una vez firmado el CONTRATO MARCO, la gestión posterior de cualquier operación relativa a los productos y/o servicios contratados, así como la contratación de nuevos productos o servicios financieros podrá realizarse, a elección del CLIENTE, bien a través del canal presencial (Oficina MAPFRE del representante) o bien, a través de INTERNET, de conformidad con lo establecido en la siguiente Estipulación relativa al acceso y uso de los canales a distancia” El acceso y utilización de los canales a distancia se podría realizar únicamente por el cliente, a través de clave, usuario y firma electrónica propias, que eran personales de cada usuario e intransferibles. Este aspecto queda señalado en la Estipulación Octava de las Estipulaciones Generales del Contrato Marco, que regula el “8. ACCESO Y UTILIZACIÓN DE CANALES A DISTANCIA”, señalando que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 “Asimismo, la ENTIDAD asignará inicialmente de forma automática a cada CLIENTE una Contraseña y una Firma Electrónica, que deberán ser modificadas por el CLIENTE inmediatamente después del primer acceso, ateniéndose a los criterios alfanuméricos definidos por la ENTIDAD en cada momento. No obstante lo anterior, la ENTIDAD se reserva el derecho de aceptar o no a un interesado como USUARIO. (…) Estos elementos (Identificador de Usuario, Password y Firma Electrónica), en adelante las “claves”, serán personales de cada USUARIO e intransferibles, permitiéndole el acceso a la operativa en todos aquellos productos y servicios en los que dicho USUARIO figure como Titular (único o en cotitularidad con terceras personas) o como Autorizado por cuenta de los Titulares. (…) A partir de este momento, y una vez validadas las claves por los sistemas de la ENTIDAD, se entenderá que las órdenes transmitidas a la ENTIDAD son instrucciones en firme, con el consentimiento expreso del CLIENTE y, por tanto, con plena eficacia jurídica. Las Partes otorgan a las órdenes transmitidas por vía telemática, mediante el uso de las claves, idéntico valor al consentimiento prestado por escrito con firma manuscrita. En conclusión, de estas cláusulas se desprende que la elección entre ambos canales para ordenar las inversiones le correspondía al cliente, y no al agente, que optó por el procedimiento presencial, ordenando con sus claves y firma las inversiones, sin que se haya acreditado que fuera el cliente (reclamante y su esposa) quienes hubieran solicitado que la inversión se realizase por esta vía. En este caso, además, el reclamante manifiesta que desde el año 2018 había optado siempre por el canal electrónico, y autorizado con sus claves y firma electrónica cada operación de inversión. Por lo que en este caso, con más razón, debió el agente consultar al cliente y obtener su consentimiento previo para cambiar al canal presencial. Ello, unido a que la entidad tenía también obligación de requerir su consentimiento previo para poder ordenar un pago a la que se refiere la estipulación general 10.1, implica sin lugar a dudas que el agente omitió el requisito de consultar y recabar el consentimiento previo del cliente, tanto para optar por el canal presencial, como para ordenar las operaciones de pago e inversión. Práctica que, además de implicar un tratamiento ilícito de los datos personales del reclamante y su esposa, infringiría lo dispuesto en el “Anexo sobre limitación de la actividad y servicios de representación” del Contrato de Representación, que señala expresamente que el representante: “No asumirá en ningún caso facultad o poder de gestión alguno sobre los instrumentos financieros titularidad del cliente, limitando su actividad a la recepción y transmisión de órdenes por cuenta de clientes en relación con uno o más instrumentos financieros del grupo Mapfre o de terceros”. En conclusión, de lo expuesto se deduce que según el contrato suscrito por las partes era necesario que el reclamante y su esposa autorizasen previamente la utilización del canal presencial o electrónico, y las operaciones de traspaso de fondos para adquirir inversiones que se realizaron por el agente de la entidad reclamada. Y consta en el expediente que el agente actuó conforme a una “mala praxis”, ordenando 6 operaciones de pago e inversión sin recabar previamente las autorizaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 necesarias, lo que supuso una utilización de los datos personales de los titulares de la cuenta para la que carecía de legitimación. Por tanto, se entiende las operaciones de tratamiento de datos personales realizadas por el agente de la reclamada de traspaso carecían de una base de licitud del artículo 6.1.
  17. b)del RGPD, al no ser necesario el tratamiento para la ejecución del contrato marco. Los mismos argumentos esgrimidos servirían para descartar la concurrencia de una base de licitud del artículo 6.1.
  18. a)del RGPD, dada la falta de consentimiento del reclamante, y su esposa, reconocida por ambas partes. Y no consta que la reclamada haya acreditado la concurrencia de cualquier otra base de licitud de las previstas en el mencionado artículo 6.1 del RGPD. En consecuencia, de confirmarse las evidencias aportadas por las partes a este procedimiento durante la fase de instrucción, ello implicaría que la entidad reclamada realizó un tratamiento de los datos personales contenidos en la cuenta del reclamante y su esposa al ordenar los traspasos de fondos a los que se refiere el presente procedimiento, sin estar amparada en ninguna base jurídica que justificase la licitud del tratamiento, lo que podría entrañar una infracción del artículo 6.1. del RGPD. IV. Tipificación y calificación de la infracción. La conducta de la reclamada podría ser constitutiva de una infracción del artículo 6.1 del RGPD. Infracción tipificada en el artículo 83.5. del RGPD que establece: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  19. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A efectos de determinar el plazo de prescripción de la infracción, la LOPDGDD califica en su artículo 72 esta vulneración del RGPD de infracción muy grave. El precepto dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: [...]
  20. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” V Sanción: Multa administrativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 El artículo 58.2 del RGPD relaciona los poderes correctivos atribuidos a la AEPD como autoridad de control entre los que incluye la potestad de imponer una multa administrativa (apartado i). Sin perjuicio de lo que resulte de la instrucción del procedimiento, en esta fase acuerdo de inicio se considera procedente la imposición a la parte reclamada de una sanción de multa administrativa por la presunta infracción del artículo 6.1 del RGPD cuya responsabilidad se le atribuye. El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4,5 y 6, cumpla en cada caso individual los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad implica una correlación o adecuación entre la infracción cometida y la sanción impuesta, con interdicción de medidas innecesarias o excesivas, de manera que la sanción sea apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD, mediante una relación de criterios o factores para su graduación, establece la técnica para lograr la adecuación entre la infracción y la sanción. El precepto dispone: “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  21. a)a
  22. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  23. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  24. b)la intencionalidad o negligencia en la infracción;
  25. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  26. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  27. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  28. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  29. g)las categorías de los datos de carácter personal afectados por la infracción;
  30. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  31. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23
  32. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  33. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” El apartado
  34. k)del artículo 83.2 del RGPD conecta con el artículo 76 de la LOPDGDD, “Sanciones y medidas correctivas”, que señala: “2. De acuerdo a lo previsto en el artículo 83.2.
  35. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  36. a)El carácter continuado de la infracción.
  37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  39. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  40. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  41. f)La afectación a los derechos de los menores.
  42. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  43. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos y la información que consta en el expediente administrativo, se toman en consideración para fijar el importe de la multa con la que correspondería sancionar al reclamado por la infracción del artículo 6.1 del RGPD, los siguientes factores que evidencian una mayor antijuridicidad o culpabilidad de su conducta: - Artículo 83.2.
  44. a)del RGPD: “la naturaleza, gravedad y duración de la infracción”. La conducta en la que se concreta la naturaleza de infracción atribuida al reclamado afecta a un principio básico en materia de protección de datos, la licitud del tratamiento, sancionado como se ha dicho, con multa de hasta 20 millones de euros o el 4% del volumen de negocios de la reclamada. La gravedad de la conducta se basa en que la entidad financiera actuó sin legitimación, tratando ilícitamente los datos personales de los dos titulares de la cuenta (nombre, apellidos, NIF y números de cuenta que aparecían en las mismas). Se considera asimismo que, de acuerdo con lo que consta en las órdenes de traspaso de fondos aportadas como Documento 2 de la reclamación, la reclamada ejecutó 6 operaciones de tratamiento de estos datos personales sin base de licitud, por un importe de 4.215 euros cada una, por lo que la inversión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 no autorizad ascendió a un total de 25.290 euros en la cuenta correspondiente al fondo de inversión con cargo al cual se descontaron dichas cantidades. Respecto a la duración de la infracción de la que se responsabiliza a la entidad reclamada, se considera que la infracción se consumó el día que se realizaron las operaciones de traspaso de fondos, el 2-6-21. - Artículo 83.2.
  45. b)La intencionalidad o negligencia de la infracción: Si bien no se aprecia intencionalidad de actuar sin base de licitud por parte del agente que ordenó los traspasos, si se aprecia una grave negligencia en la actuación de éste y de la entidad reclamada, que dice haber estado aplicando un procedimiento para ordenar operaciones que no está previsto en el Contrato Marco suscrito con el reclamante, permitiendo que sus agentes pudieran ejecutar ordenes sin recabar la autorización previa de los clientes cuando se escogía el canal presencial por el agente. Tomando en consideración que en el desenvolvimiento de su actividad empresarial se dedica a la gestión de inversiones, que presentan con relativa frecuencia estas operaciones de traspaso de fondos, forma parte de la diligencia mínima que es exigible a una entidad financiera como MAPFRE INVERSIONES que se asegure de adoptar las medidas técnicas y organizativas necesarias que impidan que los agentes o empleados que actúen en nombre de la entidad puedan adoptar estas decisiones sin contar con la firma manuscrita o electrónica previa de los clientes. A propósito del grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006), extrapolable al supuesto que nos ocupa, que indica que: “el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. La evidente vinculación entre la actividad empresarial del reclamado y el tratamiento de datos personales (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 Dado que en la actividad empresarial del reclamado resulta imprescindible el tratamiento de numerosos datos de carácter personal de sus clientes por lo que, habida cuenta del importantísimo volumen de negocio de la entidad financiera reclamada cuando acontecen los hechos la transcendencia de la conducta infractora objeto de la presente reclamación es innegable. Así las cosas, sin perjuicio de lo que resulte de la instrucción del procedimiento, se entiende que a la luz de las circunstancias de graduación antedichas, se fija inicialmente una sanción de multa de 300.000 € (TRESCIENTOS MIL EUROS) por la presunta vulneración de lo previsto en el artículo 6.1 del RGPD. VI Imposición de medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 6.1 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  46. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, conforme a lo prevenido en el artículo 83.2 del RGPD. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a MAPFRE INVERSIONES para que, en el plazo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, imparta instrucciones a sus agentes para que se abstengan de utilizar los datos personales de sus clientes disponiendo inversiones que incumplan las autorizaciones pactadas en los contratos marco de productos y servicios financieros o de gestión patrimonial suscritos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 por los mismos y establezca los medios técnicos que resulten adecuados para imposibilitar la formalización de dichas operaciones de inversión mediante firma electrónica por persona distinta al cliente o persona autorizada por éste Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A, con NIF A79227021, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del mismo RGPD. SEGUNDO: NOMBRAR como instructora a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y reclamada, junto con su documentación, así como los documentos obtenidos en las actuaciones previas al inicio del presente procedimiento sancionador y durante la fase de recurso. CUARTO: QUE a los efectos previstos en el art. 64.2
  47. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 300.000 € (TRECIENTOS MIL EUROS), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A, con NIF A79227021, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  48. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 240.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 240.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 180.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (240.000 euros o 180.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-18032024 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 20 de junio de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 180000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  49. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202303754, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A para que en el plazo de 90 días desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a MAPFRE INVERSIÓN SOCIEDAD DE VALORES, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  50. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.