← España

PS-00294-2024

1/12  Expediente N.º: EXP202409340 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de abril de 2022 se interpuso reclamación ante esta Agencia por una posible infracción imputable a HIGHCLIFFE ESTATES MARBELLA, S.L. con CIF B93407872 (en adelante, HIGHCLIFFE ESTATES MARBELLA). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: A.A.A. y B.B.B. manifiestan que en el sitio web ***WEB.1 se han publicado sus datos personales (nombre y apellidos y, además, la imagen de uno de ellos) sin su consentimiento, acusándoles de haber ocupado un inmueble y no haber abonado el precio correspondiente al alquiler. Junto a la reclamación se aporta la siguiente documentación: - Capturas de pantalla de la página web ***WEB.1, de 31 de marzo de 2022, en las que figura la siguiente información: “(…)”. A continuación, aparece la imagen de (…), que correspondería a A.A.A. Cuestionario “Solicite servicio” con los siguientes apartados: nombre, email, teléfono y mensaje. SEGUNDO: Con fecha 2 de junio de 2022, esta Agencia accedió a la página web ***WEB.1 y comprobó que la publicación objeto de reclamación seguía disponible. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 3 de junio de 2022 se dio traslado de dicha reclamación a ***EMPRESA.1, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3 de junio de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 8 de julio de 2022 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 “(…) Queremos manifestar que ***EMPRESA.1 no es la creadora de esta página web ni de ninguna otra y, por tanto, no es la titular del dominio web ***WEB.1. Por ello, ***EMPRESA.1 no es quien ha publicado la información personal de los reclamantes. TERCERA.- INTENTO DE PROBAR LA NO TITULARIDAD DE ***EMPRESA.1 RESPECTO DEL DOMINIO WEB. Con voluntad de probar que, efectivamente, ***EMPRESA.1 no es la creadora de la página web en cuestión, realizamos una búsqueda ``Whois´´ en la sección habilitada a tal efecto en la página web de la empresa OVHcloud, gracias a la cual pudo ser creada ***WEB.1 y la que, por tanto, tiene los datos del titular de dicho dominio. Con este tipo de búsquedas se consiguen datos del titular -creador- de la página web que nos interese. La búsqueda sobre el dominio ***WEB.1 no arrojó resultados con datos valiosos para la identificación del creador de la página web. Puesto que no conseguimos por esta vía probar que no es la creadora de la web, nos pusimos en contacto con OVHcloud para solicitarles algún tipo de certificación o justificación de que ***EMPRESA.1 no es la creadora -no es la titular de dicha web y, por tanto, no es la que ha publicado la información personal de los reclamantes. Este contacto fue infructuoso, ya que nos denegaron tal certificado telefónicamente y nos contestaron al correo electrónico con un correo genérico generado automáticamente. Debido a que las anteriores vías no han aportado datos relevantes para probar la no participación de ***EMPRESA.1 en los hechos que motivan esta reclamación por causas ajenas a esta parte, existe una tercera posibilidad de intentar demostrar que ***EMPRESA.1 y el creador de esa página web son personas diferentes. Si accedemos a la página ***WEB.1, aparece en varias ocasiones en la web y, más concretamente, en la sección Contacto, el número de teléfono móvil ***TELÉFONO.1. Seguidamente, si accedemos a la web ***WEB.1 podemos ver que el número de teléfono móvil de contacto es el mismo, ***TELÉFONO.1. Esta sociedad, Highcliffe Estates Marbella S.L. carece de relación con ***EMPRESA.1, y tiene un administrador único, que es persona distinta al administrador único de ***EMPRESA.1 Es decir, queda claro que la persona que ha creado la página web ***WEB.1 no es la sociedad ***EMPRESA.1 (…)” Junto al escrito aporta, entre otros, los siguientes documentos: - Capturas de pantalla de la búsqueda realizada en “Whois” en relación con el titular del dominio ***WEB.1. Según esta copia, la búsqueda se realiza el 29 de junio de 2022. - Copia del correo electrónico, de 22 de junio de 2022, enviado desde la dirección electrónica ***EMAIL.1 a soporte@ovh.es, con el asunto “Página web ***WEB.1”, en el que se solicita a OVHCloud un certificado/justificación de que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 la entidad ***EMPRESA.1 no es la creadora del sitio web en cuestión. Asimismo, se adjunta copia de la respuesta genérica emitida por OVHCloud. - Capturas de pantalla, de 23 de junio de 2022, del apartado “Contacto” de la web ***WEB.1, así como de la página web ***WEB.1. En ambos sitios aparece el teléfono móvil ***TELÉFONO.1. - Copia de las Notas simples de la sociedad Highcliffe Estates Marbella S.L. y ***EMPRESA.1: o Highcliffe Estates Marbella, S.L. Domicilio social: ***DIRECCIÓN.1. o ***EMPRESA.1 Domicilio social: ***DIRECCIÓN.2. CUARTO: Con fecha 14 de julio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por los reclamantes. QUINTO: En fecha 20 de marzo de 2025, esta Agencia accedió a la página web ***WEB.1 y comprobó los siguientes extremos: - La información publicada objeto de reclamación no continuaba disponible. - En el apartado “contacto” figuraba el número de móvil ***TELÉFONO.1. - En el apartado de “Política de privacidad y aviso legal”, figuraba Highcliffe Estates S.L., B93407872, Pepe Carleton 1, 29602, Marbella; y se indicaba como dirección a efectos de ejercer los derechos previstos en el RGPD ***DIRECCIÓN.1. En esa misma fecha, esta Agencia accedió a la página web ***WEB.1 y comprobó los siguientes extremos: - En el apartado “contacto”, figuraba el número de móvil ***TELÉFONO.1. - En el apartado de “Política de privacidad y aviso legal”, se indicaba como dirección a efectos de ejercer los derechos previstos en el RGPD ***DIRECCIÓN.1. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad HIGHCLIFFE ESTATES MARBELLA, S.L. se constituyó en el año 2015, con domicilio social en ***DIRECCIÓN.1. SÉPTIMO: Con fecha 25 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HIGHCLIFFE ESTATES MARBELLA, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD. Este acuerdo de inicio, conforme a las normas establecidas en la LPACAP, se intentó notificar mediante correo postal en la dirección ***DIRECCIÓN.1; resultando “Devuelto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 a origen (no retirado en oficina)”. Finalmente, y de acuerdo con lo dispuesto en el artículo 44 de la LPACAP, se notificó mediante anuncio publicado en el Boletín Oficial del Estado el 19 de mayo de 2025. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por HIGHCLIFFE ESTATES MARBELLA. NOVENO: Con fecha 28 de enero de 2026, la instructora dictó propuesta de resolución en la que proponía imponer a HIGHCLIFFE ESTATES MARBELLA una multa administrativa de 8.500€ por la infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 de dicha norma. Esta propuesta de resolución, conforme a las normas establecidas en la LPACAP, se notificó el 8 de febrero de 2026 a través de medios electrónicos por el transcurso del plazo de diez días naturales desde la puesta a disposición. DÉCIMO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por HIGHCLIFFE ESTATES MARBELLA. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La titularidad del sitio web ***WEB.1 corresponde a HIGHCLIFFE ESTATES MARBELLA, S.L. con CIF B93407872. SEGUNDO: El 31 de marzo de 2022 consta publicado en el sitio web ***WEB.1 el siguiente texto: “(…).” Junto al texto, figura la imagen de uno de los reclamantes (A.A.A.). TERCERO: El 2 de junio de 2022 la publicación objeto de reclamación continuaba disponible en el sitio web ***WEB.1. CUARTO: A fecha 20 de marzo de 2025 la publicación había sido retirada del sitio web ***WEB.1. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que HIGHCLIFFE ESTATES MARBELLA realiza, entre otros tratamientos, la recogida y publicación de los siguientes datos personales de personas físicas: nombre, apellidos e imagen. Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Y, el artículo 4.8) del RGPD define a la figura del «encargado del tratamiento» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” En el presente caso, de la documentación que obra en el expediente administrativo, se desprende que (
  2. i)el teléfono de contacto que figura en ***WEB.1 y ***WEB.1 es el mismo (***TELÉFONO.1), (
  3. ii)la dirección que se indica en ***WEB.1 a efectos de ejercer los derechos previstos en el RGPD coincide con la que figura en ***WEB.1 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 con el domicilio social de HIGHCLIFFE ESTATES MARBELLA (***DIRECCIÓN.1) y (iii), a fecha 20 de marzo de 2025, en el apartado “Aviso legal” de la página web ***WEB.1 figuran los siguientes datos: ***DIRECCIÓN.1. Por tanto, HIGHCLIFFE ESTATES MARBELLA realiza esa operación de tratamiento en su condición de responsable de tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En este sentido, el Considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” El artículo 6 del RGP determina en su apartado 1 los supuestos en los que la normativa vigente permite realizar el tratamiento de datos personales de un tercero y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 que denomina “bases de licitud”. Si no concurre algunos de estos supuestos o condiciones, el tratamiento no será legítimo, esto es, no será considera lícito a los efectos del RGPD. En el presente caso, a fecha 31 de marzo de 2022 en el sitio web ***WEB.1 estaba publicado un texto que exponía los datos personales de nombre y apellidos de los reclamantes (A.A.A. y B.B.B.) y la imagen de uno de ellos (A.A.A.); como consta en las capturas de pantalla adjuntas a la reclamación y, posteriormente, en la comprobación realizada por esta Agencia el 2 de junio de 2022. No obstante, el 20 de marzo de 2025 se constató por esta Agencia que la publicación en cuestión había sido retirada. En cualquier caso, la documentación obrante en el expediente administrativo demuestra que HIGHCLIFFE ESTATES MARBELLA publicó los datos personales referidos de los reclamantes en su página web (***WEB.1) sin que concurriera una causa legitimadora que amparase esa operación de tratamiento. En este sentido, no consta, para el tratamiento mencionado, el consentimiento de los afectados, quienes, además, lo niegan. Tampoco puede afirmarse que la publicación se produjera por ser necesaria para la ejecución de un contrato entre las partes, ni existe norma con rango de ley que sustente la necesidad exigida en los apartados 6.1
  11. c)y d). Asimismo, no se observa la existencia de los condicionantes necesarios para afirmar que el tratamiento era necesario para proteger los intereses vitales del interesado, ni tampoco que fuera necesario para la satisfacción de un interés legítimo del responsable, que hubiera exigido, además de la efectiva existencia de dicho interés legítimo, una ponderación entre los derechos y libertades afectados de los interesados y el interés legítimo en cuestión. En consecuencia, de conformidad con los hechos probados de los que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a HIGHCLIFFE ESTATES MARBELLA, por vulneración del artículo 6.1 del RGPD. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  12. a)“los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  13. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. VI Sanción por la infracción del artículo 6.1 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  14. a)a
  15. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  16. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  17. b)la intencionalidad o negligencia en la infracción;
  18. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  19. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  20. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  21. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  22. g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12
  23. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  24. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  25. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  26. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción.
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  33. f)La afectación a los derechos de los menores.
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de las posibles infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Asimismo, en relación con el nivel de gravedad den los términos del RGPD, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). La publicación de la información que contiene varios datos personales de los reclamantes (nombre y apellidos de ambos y la imagen de uno de ellos) por parte de HIGHCLIFFE ESTATES MARBELLA en la página web ***WEB.1 supone la posibilidad de una difusión inmediata y de gran alcance del contenido, lo que conlleva a las personas afectadas una pérdida de disposición y control enorme sobre sus datos personales. Asimismo, el hecho de que en la publicación se acuse a los reclamantes de ser unos deudores conlleva un daño reputacional para los dos afectados y titulares de dichos datos. Si bien la publicación ha sido retirada a fecha 20 de marzo de 2025, al menos, consta que estuvo publicada desde mediados de abril de 2022 (fecha de presentación de la reclamación) y que continuaba disponible el 2 de junio de 2022 (fecha de comprobación de esta Agencia). - La intencionalidad o negligencia en la infracción (artículo 83.2, letra b), del RGPD). La difusión de la publicación objeto de reclamación con los datos personales de los reclamantes se realizó por HIGHCLIFFE ESTATES MARBELLA de forma intencionada, tal y como demuestra que en dicha publicación haya venido acompañada de ciertas consideraciones en las que se acusa a los reclamantes de haber ocupado un inmueble y no haber abonado el precio correspondiente al alquiler. - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…)el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso no se aprecia la concurrencia de datos de categoría especial ni especialmente sensibles. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - Toda infracción anterior cometida por el responsable o el encargado del tratamiento (artículo 83.2, letra e), del RGPD). En esta Agencia consta un procedimiento sancionador (PS/XXXX/YYYY) en el que se dictó resolución en fecha 6 de abril de 2021 por la que se le imputaba a HIGHCLIFFE ESTATES MARBELLA, entre otras, una infracción del artículo 6.1 del RGPD y por la que se le imponía una multa administrativa de 8.000€. En este caso los reclamantes son los mismos que en el presente procedimiento sancionador y también versaba sobre la publicación de sus datos personales sin su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 consentimiento en una página web titularidad de HIGHCLIFFE ESTATES MARBELLA. Igualmente, se consideran los siguientes factores de graduación en calidad de atenuantes: - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción (artículo 83.2, letra
  36. k)del RGPD). Se ha de considerar que HIGHCLIFFE ESTATES MARBELLA procedió a la retirada de la publicación objeto de reclamación. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite imponer una sanción de multa administrativa de 8.500€ (ocho mil quinientos euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a HIGHCLIFFE ESTATES MARBELLA, S.L., con CIF B93407872, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
  37. a)del RGPD, una multa administrativa de 8.500€ (ocho mil quinientos euros). SEGUNDO: NOTIFICAR la presente MARBELLA, S.L., con CIF B93407872. resolución a HIGHCLIFFE ESTATES TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el CIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  39. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.