← España

PS-00291-2019

1/15 * 936-150719 Procedimiento Nº: PS/00291/2019 RESOLUCIÓN R/00559/2019 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00291/2019, instruido por la Agencia Española de Protección de Datos a JOKER PREMIUM INVEX, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 4 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a JOKER PREMIUM INVEX, S.L. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00291/2019 935-240719 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de diciembre de 2018 Don A.A.A., (en adelante, el reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos, (en adelante, AEPD), contra MEDISALUD/JOKER PREMIUM, en la que exponía que desde su alta en el censo municipal de la población de ***POBLACIÓN.1 (Toledo) recibe publicidad y ofertas comerciales con datos identificativos (población, nombre y apellidos y dirección) que solo ha facilitado a la Administración Pública. Añadía que ha cursado comunicaciones electrónicas a la presunta promotora de las comunicaciones y al administrador de las bases de datos sin ningún resultado. La información de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 ambos se refiere a la obtención de datos de distintas fuentes públicas en las que no constan sus datos personales ni identificación de los residentes que, sin embargo, si aparecen en las comunicaciones que recibe. El reclamante anexa copia de un envío publicitario en cuyo anverso figura impreso el logotipo de MEDISALUD, los datos del remitente (GM- ***APARTADO DE CORREOS Madrid) y los datos del destinatario, en este caso del reclamante, conforme prueba que el nombre, apellidos y dirección postal del destinatario del envío estudiado coinciden con los datos identificativos y el domicilio postal facilitados por el reclamante al presentar la mencionada reclamación. En el cuerpo del envío publicitario figura el siguiente texto: “Te regalamos un patinete eléctrico sólo por asistir. MEDISALUD te invita a que conozcas las últimas novedades diseñadas exclusivamente para que sigas cuidando de ti y de los tuyos. Para ello, te obsequiamos sólo por tu presencia en nuestro evento, con un regalo de cortesía. Si además acudes con tu cónyuge MEDIASALUD TE REGALARÁ COMPLETAMENTE GRATIS, UN PATINETE ELÉCTRICO Si eres viudo/a. ven acompañado/a de un familiar o un amigo/a mayor de 45 años y recibirás el mismo regalo, siempre y cuando acredites tu estado civil con documentación válida. Y si conoces a un matrimonio o pareja amiga, mayor de 45 años, INVÍTALA a venir. También recibirá los mismos regalos que tú, siempre que no repita invitación en esos días. Confirma tu asistencia y la reserva de tu regalo.” En el envío se señalaba el lugar de celebración del acto ***HOTEL.1, en Aranjuez), fechas y horarios de celebración (días 10 y 11 de enero de 2019, por la mañana y por la tarde). Se facilitaba el número de teléfono ***TELÉFONO.1 para reservar en el horario comprendido entre las 9:15 a 20:00 horas. Al pie del del folleto publicitario se informa: “El presente envío ha sido remitido a direcciones postales que constan como huecos residenciales obtenidos a través de la información pública ofrecida por el IN, las bibliotecas de calles de Correos y procedimientos directos sin que en ningún caso conste la identidad de los residentes en dichos domicilios. No obstante, si por cualquier motivo, no le agradan estas comunicaciones, puede manifestarlo mediante escrito dirigido a JOKER PREMIUM C/Maria de Molina nº54 planta 5ª 28006 Madrid. Recibida una petición en ese sentido, no se volverán a remitir a la correspondiente dirección postal comunicaciones de esta naturaleza.” SEGUNDO: Con fecha 23 de enero de 2019, la Subdirección General de Inspección de Datos trasladó a la entidad GRUPO MEDISALUD TV, S.L., (en adelante, MEDISALUD) la citada reclamación para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Asimismo, se requería a dicha entidad para que en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 plazo de un mes remitiera a la AEPD la siguiente información: Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión; Informe sobre las causas que han motivado la incidencia que ha originado la reclamación; Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares; Cualquier otra que considere relevante. En la misma fecha se comunicó al reclamante la recepción de la reclamación y su traslado a MEDISALUD. Con fecha 22 de febrero de 2019, se registra de entrada en esta Agencia escrito de contestación de MEDISALUD manifestando que:

  1. a)Han dado respuesta al reclamante haciendo constar que: MEDISALUD no tiene ni ha tenido en sus bases de datos información alguna del reclamante .Que la relación entre esa empresa y JOKER PREMIUM obedece a una relación de prestación de servicios consistente en la realización por parte de JOKER PREMIUM de campañas comerciales para la celebración de eventos presenciales en distintas poblaciones españolas a los que acuden personas interesadas para la presentación y venta de los productos que comercializa MEDISALUD. Que estas campañas comerciales son producidas y dirigidas de forma totalmente autónoma por JOKER PREMIUM, sin que MEDISALUD intervenga en ninguna fase de las mismas.
  2. b)Adjuntan copia del “Contrato de Prestación de Servicios” suscrito, con fecha 2 de agosto de 2017, entre GRUPO MEDISALUD TV, S.L. (EL CLIENTE) y JOKER PREMIUM INVEX, S.L. (EL PROVEEDOR). En los apartados 1.1 y 1.2 de la estipulación primera y apartado 2.2 de la estipulación segunda del citado Contrato consta: “PRIMERA.- OBJETO: 1.1 El presente contrato tiene por objeto establecer el marco jurídico que regulará la prestación por parte de PROVEEDOR a CLIENTE de los servicios de publicidad y marketing necesarios para la venta de los productos del CLIENTE. 1.2 EL CLIENTE realizará dichas ventas a través de presentaciones presenciales de sus productos en lugares previamente definidos y concertados por el PROVEEDOR (Hoteles, Restaurantes, etc.). A tal efecto, el PROVEEDOR se compromete a realizar las tareas de marketing que sean necesarias para lograr que a dichos eventos acudan el mayor número posible de potenciales clientes. Para ello, el PROVEEDOR diseñará cada una de las campañas de marketing y publicidad que se vayan a llevar a cabo para la venta de los productos del CLIENTE y preparará y ejecutará dichas campañas de captación de asistente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 SEGUNDA.- OBLIGACIONES DE PROVEEDOR (…) 2.2.- EL PROVEEDOR reconoce que es exigencia del CLIENTE que las campañas de marketing se efectúen sin que, en ningún caso, sean utilizados o tratados datos personales de personas físicas sujetos a la normativa de protección de datos personales.” c). Han remitido burofax a la empresa JOKER PREMIUM, cuya copia adjuntan, solicitando un informe de las causas que han originado la reclamación. TERCERO: A la vista de la información recibida de MEDISALUD, con fecha 28 de febrero de 2019, de conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (en adelante LOPDGDD), y a los efectos previstos en su artículo 64.2 la Directora de la AEPD acordó admitir a trámite la reseñada reclamación. CUARTO: Con arreglo a lo previsto en el artículo 67 de la LOPDGD, y a fin de una mejor determinación y esclarecimiento de los hechos expuestos en la reclamación, desde la Subdirección General de Inspección de Datos de la AEPD se practicaron las actuaciones de investigación cuyo resultado a continuación se expone: Con fecha 17 de mayo de 2019 se registra de entrada en esta Agencia escrito de contestación de JOKER PREMIUM INVEX, S.L., (en lo sucesivo, el reclamado), al requerimiento de información que le fue efectuado con fecha 24 de abril de 2019, posteriormente reiterado con fecha 28 de junio de 2019, indicando que: - En la actualidad no constan en sus ficheros datos personales del reclamante. Dichos datos fueron suprimidos después de que su cliente, MEDISALUD, les informase de que habían recibido de la AEPD una reclamación que había sido formulada por el reclamante por figurar su nombre y apellidos en un envío publicitario. - Que la existencia de dicha información en el envío publicitario les ha sorprendido ya que en su fichero no tienen datos personales, sino únicamente referencias correspondientes a huecos residenciales, sin ningún tipo de información sobre la identidad de las personas que residen en ellos. - Tras realizar una investigación interna, la única conclusión es que se produjese algún error y que por razones que desconocen existiera un registro con datos del denunciante. No tenían constancia de que en sus sistemas informáticos figurase dicho dato. - El incidente fue subsanado eliminando de forma irreversible los datos objeto de la reclamación. Adicionalmente, se ha efectuado un rastreo en profundidad buscando otros posibles datos personales para asegurarse de que se ha tratado de una situación puntual y de que no se vuelva a producir un hecho de esta naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 El reclamado aporta carta dirigida a MEDISALUD exponiendo lo manifestado anteriormente y asumiendo toda la responsabilidad por el incidente. Posteriormente, con fecha 25 de julio de 2019, se registra de entrada en esta Agencia escrito del administrador único del recamado, en representación de dicha entidad, exponiendo lo que sigue: - Se confirma que los datos personales del reclamante utilizados para enviar la publicidad proceden de los ficheros de esa sociedad. - Que compró algunas bases de datos para realizar actividades de marketing, figurando los datos del denunciante en uno de esos ficheros. - Normalmente imparte instrucciones a sus empleados para que en los envíos no se incluyan las personas que no quieren recibir publicidad o bien utiliza datos que no sean personales, pero, en este caso, asume que se ha cometido una ilegalidad y que debió asegurarse de que los datos del denunciante eran legales antes de utilizarlos. - Que no puede justificar que tuviese el consentimiento del interesado, por lo que reconoce los hechos que se imputan y su responsabilidad por el envío de la publicidad. - Que no han tenido contacto con el reclamante ni consta haberle remitido otra comunicación al margen de la publicidad estudiada. - Que se asumen las correcciones que deban imponerse, solicitando que se tenga en cuenta que se trata de un hecho puntual, que no ha habido voluntad de causar daño, que los datos del reclamante se han eliminado, la reducida dimensión de la empresa y la complicidad que supone para la misma el cumplimiento íntegro y completo de la normativa de protección de datos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en adelante, RGPD) reconoce a cada autoridad de control y según lo establecido en los artículos 47, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. De conformidad con dichas definiciones, y a la vista de las actuaciones practicadas, los hechos objeto de supuesta infracción se concretan en el tratamiento por parte del reclamado de los datos personales del reclamante (nombre, apellidos y domicilio postal) para remitirle, en el marco de una campaña publicitaria organizada por el reclamado, un folleto con publicidad de otra empresa sin haber acreditado estar legitimado para efectuar ese tratamiento con esa concreta finalidad. III El tratamiento descrito podría ser constitutivo de una infracción del artículo 6 del RGPD, “Licitud del tratamiento”, cuyo apartado 1.
  3. a)establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;” El artículo 7 del citado RGPD, bajo la rúbrica “Condiciones para el consentimiento”, señala que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Por su parte, el artículo 6 de la de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, bajo la rúbrica “Tratamiento basado en el consentimiento del afectado”, señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. La supuesta infracción de la que se responsabiliza al reclamado se encuentra tipificada en el artículo 83.5.
  5. a)del RGPD, que establece que “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  6. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGDD en su artículo 71, bajo la rúbrica “Infracciones”, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos de prescripción, la LOPDGDD en su artículo 72.1.
  7. b)señala: “Infracciones consideradas muy graves”: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  8. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 IV De la documentación obrante en el expediente, y de las propias manifestaciones del reclamado en su escrito de fecha 25 de julio de 2019, se evidencia que el reclamado vulneró el artículo 6.1 del RGPD. Consta en el expediente que el reclamado trató el nombre, apellidos y domicilio postal (calle ***DIRECCIÓN.1) del reclamante para remitirle, en el marco de una campaña publicitaria íntegramente desarrollada y gestionada por el reclamado, un folleto postal que promocionaba la asistencia a un evento en el que iban a publicitarse las últimas novedades diseñadas por MEDISALUD, a celebrar los días 10 y 11 de enero de 2019 en el lugar que se reseñaba en el folleto. Por otra, el reclamado ha reconocido en el escrito citado no disponer de legitimación para el tratamiento de los datos personales del reclamante. De conformidad con las evidencias de las que se dispone en este momento, y sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la conducta del reclamado podría vulnerar el artículo 6.1.
  9. a)del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
  10. a)del citado Reglamento 2016/679, y calificada de muy grave, a efectos de prescripción, en el artículo 72.1.
  11. b)de la LOPDGDD. V El artículo 58.2 del RGPD, bajo la rúbrica “Poderes”, establece que: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) “
  12. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” Para determinar la multa administrativa que en este caso proceda imponer se han de observar las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2.Las multas administrativas se impondrán, en función de las circunstancias de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  13. a)a
  14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  16. b)la intencionalidad o negligencia en la infracción;
  17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  21. g)las categorías de los datos de carácter personal afectados por la infracción;
  22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  26. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  33. f)La afectación a los derechos de los menores.
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa que procedería imponer en el presenta caso por la presunta infracción tipificada en el artículo 83.5 del RGPD que se atribuye al reclamado, en una valoración inicial, se estima que concurren los siguientes factores: En calidad de agravantes: - Que los hechos objeto de la reclamación son imputables a una falta de diligencia del reclamado al no comprobar si existía base legitimadora para tratar los datos personales del reclamante en el marco de la campaña publicitaria en que se utilizaron sus datos (artículo 83.2.b, RGPD). -La estrecha vinculación de la actividad del reclamado con el tratamiento de datos de carácter personal (artículo 83.2.k, RGPD en relación con 76.2.b, de la LOPDGDD) En calidad de atenuantes: -Que sólo consta, a la vista de los elementos de juicio disponibles, como afectado por la conducta infractora el reclamante (artículo 83.2.
  36. a)-Las medidas que la reclamada adoptó para paliar los daños y perjuicios sufridos por el reclamante (artículo 83.2.c). A este respecto se valora que con anterioridad a la recepción del requerimiento de información de esta Agencia, y conocida la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 situación irregular a través de MEDISALUD, el reclamado procedió a eliminar los datos del reclamante de sus ficheros, según figura en el escrito de fecha 7 de marzo de 2019 que indica remitió a su cliente. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a JOKER PREMIUM INVEX, S.L., con NIF B87743902, por la presunta infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5.
  37. a)del citado Reglamento (UE) 2016/679. 2. NOMBRAR como instructora a B.B.B. y, como secretario, a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). 3. INCORPORAR al expediente sancionador, a efectos de prueba, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos como consecuencia del traslado efectuado y durante las actuaciones previas de investigación practicadas; así como el informe de actuaciones previas de Inspección. 4. QUE, a los efectos previstos en el art. 64.2
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP) la sanción que pudiera corresponder sería de 10.000 euros (Diez mil euros), sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente acuerdo a JOKER PREMIUM INVEX, S.L., con NIF B87743902, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  39. f)de la Ley 39/2015, de la LPACAP. De conformidad con lo dispuesto en el artículo 85.1 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 establecida en 8.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000 euros o 6.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 >> SEGUNDO: En fecha 29 de octubre de 2019, el reclamado ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  40. d)e
  41. i)y 38.4 d),
  42. g)y
  43. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00291/2019, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a JOKER PREMIUM INVEX, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  44. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.