← España

PS-00315-2020

1/20  Procedimiento Nº: PS/00315/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: EXCEL HOTELS RESORT S.A. (en adelante, la reclamante) con fecha 12/07/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SIGNALLIA MARKETING DISTRIBUTION, S.A., con CIF A76539030 (en adelante, la reclamada). Los motivos en que basa la reclamación son “la mala praxis de la reclamada, al extinguir un contrato de prestación de servicios y negarnos el acceso a nuestros propios servidores, al acceso a nuestras claves, además de negarse a devolvernos todos los datos de nuestra entidad ocasionando graves daños a nuestros sistemas, nuestro personal, además de grandes daños económicos al verse paralizados todos los sistemas de trabajo”. Manifiesta que el 29/04/2019 envía un burofax a la reclamada solicitando el cambio de servidores a las instalaciones de la empresa en virtud de un contrato de prestación de servicios firmado en 1/07/2011 (adjunta copia del contrato). En la copia del literal del burofax, documento 1, se indica: “Tal y como les hemos puesto de manifiesto, es nuestra intención cambiar el lugar en el que se encuentran almacenados los servidores de nuestra compañía de forma que pasen a estar ubicados en nuestras oficinas centrales y se evite el acceso ilícito a la información que consta alojada en los mismos. Si bien lo cierto es que a día de hoy vienen haciendo caso omiso a nuestra solicitud, pretendiendo apropiarse indebidamente de nuestros equipos informáticos y de la información que está alojada en los mismos, por ello advertimos que en caso de que no procedan a poner a nuestra disposición los servidores de la compañía en el plazo improrrogable de 5 días nos veremos en la obligación de denunciar los hechos”. En entrega figura: “no entregado, dejado aviso”. Un segundo intento consta “no entregado por sobrante-no retirado en oficina.” Manifiesta que el ***FECHA.1, su empresa sufrió un intento de estafa al suplantar alguien la cuenta de correo, dirección de email, de su asesor financiero, demandando a través de una empresa colaboradora que ingresara una cantidad en una cuenta en un Banco. Esta circunstancia se notificó a la reclamada por ser la encargada del tratamiento de los sistemas informáticos y los que tenían acceso a los servidores de su empresa. Sobre este asunto, aporta copia de documento 2, de ***FECHA.1, escrito a reclamada, en el que le informa y pide explicaciones de lo sucedido, añadiendo “Les volvemos a reiterar que extinguido el contrato de prestación de servicios se encuentran en la obligación de devolvernos los servidores y facilitarnos las claves de acceso absteniéndose de acceder a nuestros servidores”. Se desconoce su entrega efectiva. Manifiesta en la reclamación, “desde este día y extinguido el contrato de prestación de servicios firmado en su día (día de extinción del contrato ***FECHA.2) se le solicita a esta entidad la obligación de devolvernos los servidores y facilitarnos las claves de acC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 ceso a ellos”. Adjunta documento 3, escrito de la reclamada dirigido a la reclamante, de ***FECHA.3, titulado “aviso de impago por la provisión del servicio contratado entre las partes el 1/07/2011” y señala en inglés, que la reclamante le adeuda 409.724,50 €, de lo que ya ha sido informada, y que si no se abona antes del 14/05/2019, “cesarán en la provisión del servicio el ***FECHA.2, suspendiendo toda la actividad y operaciones”. Expresa los continuos retrasos en el pago de las facturas emitidas por su compañía a la reclamada, informando que esta cantidad es acumulada desde enero 2017 por los servicios prestados. Le indica que “después de una serie de demandas instadas a la reclamada en los últimos meses, se ven obligados a reclamar la cantidad. En documento 3-1, que se aporta, titulado “contestación a la carta de ***FECHA.3”, la reclamante en escrito de ***FECHA.4, muestra su sorpresa por el hecho de que a ella se le “adeuda una cantidad superior a 10 millones de euros”. Le informa que han interpuesto una demanda contra ellos y le indica que han incumplido la “obligación de poner a disposición de la reclamante los servidores de su propiedad, cuestión que está causando un grave perjuicio a la sociedad y se niegan a facilitar la contraseña de administrador que nos permita operar con nuestros equipos informáticos cuestión que supone un incumplimiento del citado contrato”. También informa de que “recientemente hemos detectado que se ha producido una suplantación de identidad de los trabajadores de la reclamante para ordenar a terceros que se realicen pagos en cuentas corrientes que no son de titularidad de la entidad, lo que constituye un grave intento de estafa.” “A pesar de que les hemos solicitado las claves precisas para poder realizar una investigación de lo ocurrido hoy no nos han facilitado dichas claves de forma que podamos acceder al sistema para realizar las correspondientes pesquisas. Por la presente ejercitamos nuestra facultad de resolver el mencionado contrato por lo que a partir de la fecha de recepción no se devengará cantidad alguna por la prestación de los indicados servicios.” “Le rogamos de instrucciones precisas a sus técnicos para que se abstengan de continuar prestando servicios informáticos y procedan a devolvernos el material informático de nuestra propiedad que les fue entregado en el momento de la suscripción del contrato.” De este documento se desconoce su entrega efectiva, por no aportarse prueba de recepción. Declara en la reclamación que el 14/06/2019, la reclamante envió un burofax a la reclamada informándole que la no entrega de sus servidores y claves ha supuesto un grave perjuicio para ellos y que interpondrán denuncia ante la Agencia Española de Protección de Datos. Aporta copia del escrito, sin acreditar muestra de su entrega. Indica como perjuicios sufridos. -Desde el viernes 7/06, la reclamante no tuvo acceso a los sistemas relacionados con la contabilidad, sólo se quedó con la posesión de copia de algunos datos del diario de cada empresa. -El proveedor del programa informó a la reclamante que tardaría mínimo de una semana en restablecer la instalación de los programas: Conta, gestión de pagos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 conciliación bancaria, activos fijos y traspasos contabilidad. Esto significó que al no recuperarse los datos históricos se perdió la información en soporte digital para los registros contables. A corto plazo: - imposibilidad de cumplir con obligaciones del sistema SII, se debían declarar todas las facturas dentro de los 8 días naturales tras su emisión. -Igualmente, para reducir el IGIC en la declaración mensual deberá informar sobre todas las facturas recibidas, la fecha para efectuar la declaración de datos de facturas deducibles en 15 de junio. Esto quiere decir que la reclamante tendrá que pagar este mes más IGIC a la Agencia Tributaria canaria, -Dificultades en elaborar borradores de cuentas a 31/05 que debían haber cumplimentado. -ATECRESA informó a la reclamante que tardaría hasta 6 meses en recuperar la operatividad del sistema lo que implica que no se han podido valorar correctamente inventarios y que se retrasase la contabilización de costo de F&B. -No ha podido emitir los pagos certificados por lo que los pagos se han hecho por transferencia o emitiendo un talón, lo que consume mucho tiempo. -Problemas para acabar las auditorías de la reclamante. -La reclamante no tenía ni tiene datos para presentar ante cualquier inspección de Hacienda estatal o Canaria. A largo plazo: - retrasos en elaboración y presentación de impuestos sanciones y multas asociadas -Imposibilidad de llevar a cabo análisis de negocio para preparar proyecciones. - falta de soporte digital para contabilización de amortización de activos fijos. -Gastos adicionales relacionados con la reinstalación de aplicaciones trabajo adicional de los técnicos Junto a la reclamación, aporta: -Copia de un contrato de arrendamiento de servicios del 1/07/2011, figurando de una parte como cliente, SILVERPOINT HOTELS AND RESORTS SA, CIF A-38083101, y como prestataria del servicio SILVER POINT VACATION SOLUTIONS SA, CIF A76539030, en el que se le encomienda la prestación de servicios de prevención, mantenimiento y asesoramiento de equipos informáticos en el entorno de las telecomunicaciones y la informática. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 -Copia del documento 4 de denuncia de la reclamante ante la Policía, fecha 23/05/2019, por intento de estafa a través de suplantación de identidad sufrido el ***FECHA.1, que finalmente no se consumó, al detectarse que se trataba de una operación fraudulenta. Se indica en el punto 4 de la denuncia que se aporta informe de la empresa SIGNALLIA, encargada de la administración y gestión de los sistemas informáticos de la empresa reclamante, en la que, entre otra información, declara que fue la cuenta del director financiero de la reclamante había sido objeto de ataque informático. -Aporta copia documento 5 de denuncia de la reclamante ante la Policía, el 7/06/2019, contra la reclamada por mala praxis profesional y estafa, sin más documentación que revele los motivos. - Aporta documento 6, de 13/06/2019, escrito de reclamada a reclamante titulado “carta de contestación” “petición de datos en base a los derechos arco”. “Tras transcurrir el plazo legal de 30 días establecido en la carta entregada- por la representante de la reclamante -en nuestras oficinas el pasado 14 de mayo del 2019 hemos accedido a facilitar los datos que nuestra compañía mantiene de EXCEL HOTELES Y RESORTS SA.” “Dado el volumen de los mismos y por razones técnicas internas de Signallia dicha información se le pondrá a su disposición 10 días a contar desde el envío de la presente carta”. -Aporta documento 8, escrito de reclamada a la reclamante, de 20/06/2019, en el que indica: “Con el fin de proveer la información solicitada y cumplir con la normativa de Protección de Datos, nuestra compañía le informa que tenemos más de 5 terabytes de datos… El equipo de seguridad informática nos comunica que la forma más segura de tratar dichos datos es seguir los siguientes pasos…” adquiera un disco duro con una capacidad mínima de memoria de 5 terabytes, que sea entregado en las oficinas indicando que el tiempo de descarga serán dos días laborables, que se le facilitaría un nombre y contraseña a la persona facultada y que una vez entregado el disco duro y se confirme su lectura, la reclamada procedería a borrar dichos datos. -Aporta documento 9, consistente en unos impresos de “informe de equipos de XL” con el nombre de PC, fabricante, modelo, y sistema operativo y número de serie, fecha bios, 8 hojas. También figura, documento 10, una relación de descripción de equipos informáticos, figurando entre otros, servidores y año de compra y precios de compra, elaborados por la reclamante y que se comunican internamente el 25/04/2019, con el texto “Por favor intenta encontrar las facturas de los servidores más nuevos. Todos están activos en Central”. -Aporta documento 12, copia de correo electrónico, 1/07/2019, de una empleada de la reclamante con copia a dos empleadas, dirigido a gacacostaytorres.com, posiblemente su asesoría o similar, indicando que han designado a dos personas para acudir a las oficinas de la reclamada, para, con un disco duro, intentar recuperar los datos. Le adjunta una carta preparada para si viera que es preciso añadir algo. Le siguen correos precedentes en fecha 28/06/2019, en el que la persona de gacacostaytorres.com, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 el mismo asunto de “seguimiento entrega de datos por parte del SIGNALLIA a EXCEL” referidos a la importancia de conseguir los datos y las trabas que ponen. -Copia de un escrito de 1/07/2019 de la reclamante a la reclamada, indicando en referencia al burofax recibido el 20/06/2019, donde nos indicaban el procedimiento a seguir para tratar los datos de la manera más segura, “les hacemos entrega de un disco duro” con él se indica cómo entregar la contraseña, de acuerdo con el email recibido el 27/06 enviado por A.A.A. (de la parte reclamada) donde nos amplían los requisitos. “Para poder acceder a dichos datos, queremos dejar constancia que SIGNALLIA no puede quedar exenta de responsabilidad una vez ha entregado los datos como ustedes solicitan porque están en proceso algunos trámites abiertos sobre esta causa.” -Copia de un correo electrónico de 1/07/2019 en el que una empleada de la reclamante les informa a otras personas, entre ellas gacacostaytorres.com con copia para dos personas de la reclamante: “te adjunto email con los datos acontecidos hoy en la oficina designada cuando dos de nuestros empleados de EXCEL han ido con el disco duro a recuperar nuestros datos. Agradecería que nos informes de cómo debemos proceder después de estos acontecimientos. Hemos redactado en el email abajo”. Le adjunta la explicación dada a su vez por correo electrónico de las personas que fueron a llevar el disco duro, indicando “a las 12:30 nos hemos desplazado a las oficinas de SIGNALLIA con el fin de entregar el disco duro externo “Hemos expuesto nuestra intención de dejar el disco duro externo, y nos han informado que A.A.A., supuestamente el máximo directivo ha salido de las oficinas y que ellos no tienen la autoridad para recibir la entrega…” -Copia de correo electrónico de la máxima responsable de la reclamante, a la reclamada de 1/07/2019 indicando “por favor puedes solucionar esto, nuestros empleados han acudido otra vez a sus oficinas y no se les ha entregado lo que se solicitó mi equipo tiene la autorización para recogerlo.” SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante, con fecha 25/09/2019, se traslada a la reclamada copia de la reclamación, indicándole que informe sobre la decisión que ha adoptado sobre la reclamación, causas que han motivado la incidencia y medidas adoptadas. Según el certificado de correos, el envío se entregó el 21/10/2019 y no fue atendido el requerimiento. TERCERO: Con fecha 23/12/2019, se acuerda la admisión a trámite de la reclamación. CUARTO: Con fecha 30/01/20120, en fase de actuaciones previas de investigación para el esclarecimiento de los hechos, se requiere información a la reclamada, solicitando si se han devuelto los datos, y en caso negativo informar de las causas que motivan que no se hayan devuelto, advirtiéndole de lo que establece la normativa sobre protección de datos sobre la responsabilidad del encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 El envío se remitió electrónicamente, resultando “rechazo automático” “fecha de puesta a disposición 30/01/2020 fecha de rechazo automático 10/02/2020.” El 18/02/2020 se requiere nuevamente a la reclamada, advirtiéndole de la obligación de relacionarse telemáticamente con la administración. El envío que en esta ocasión se cursa, excepcionalmente, con el fin de obtener la información, se realiza a través del servicio de correos, a la dirección Avenida San Francisco, urbanización Oasis sur 3865, Los Cristianos, Arona, Santa Cruz de Tenerife (misma dirección en que anteriormente fue recogida) y resultó: “devuelto a origen por desconocido el 6/03/2020”. Con fecha 31/03/2020, se remite nuevamente escrito a la reclamada, ***DIRECCIÓN.1, ***LOCALIDAD.1 (***PROVINCIA.1), dirección del Registro Mercantil, dando resultado “Devuelto a Origen por Desconocido el 22/06/2020”. QUINTO: Introduciendo los datos de la reclamada en GOOGLE, aparece que en el BOE de 24/10/2020, se publica un edicto del Juzgado de lo Mercantil núm. 2 de ***PROVINCIA.1, en el que se indica la referencia de la reclamada, incursa en el procedimiento concursal núm. ***PROCEDIMIENTO.1, en el que se dictó auto de ***FECHA.5, rectificado el 13/10/2020, declarando el concurso de la mercantil SIGNALLIA MARKETING DISTRIBUTION S.A., CIF A76539030. Se designa como administrador concursal B.B.B., indicándose su dirección. Se indica que se ha acordado la apertura de la fase de liquidación. SEXTO: A la reclamada, a fecha 5/10/2020, no le figura ninguna anotación de sanción previa en la aplicación SIGRID que gestiona las reclamaciones de la AEPD. SÉPTIMO: En la aplicación “monitoriza Business”, figura la reclamada, constituida el 3/03/2011, último ejercicio presentado 2017, tamaño PYME, actividades de agencias de viajes ventas: 7.764.059 €. OCTAVO: Con fecha 10/12/2020, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a SIGNALLIA MARKETING DISTRIBUTION, S.A., con CIF A76539030, por la presunta infracción del artículo 28.3.

  1. g)del RGPD, de conformidad con el artículo 83.4.
  2. a)del RGPD.” “A los efectos previstos en el art. 64.2
  3. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP) la sanción que pudiera corresponder sería de multa administrativa de 100.000 euros, sin perjuicio de lo que resulte de la instrucción.” “NOTIFICAR el presente acuerdo a SIGNALLIA MARKETING DISTRIBUTION, S.A., con CIF A76539030, a través del administrador concursal, B.B.B.,” La reclamada no efectuó alegaciones. NOVENO: Con fecha 3/06/2021 se inicia período de práctica de prueba, acordando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 Dar por reproducidos a la reclamación y su documentación, los documentos obtenidos y generados por los Servicios de Inspección de la reclamada. Como pruebas adicionales, se solicitó 1) A reclamante: ¿Cuál fue el acto legal por el que se varió la denominación del nombre firmante, cliente, del contrato de arrendamiento de servicios de 2011, con la reclamada, ya que en la misma figura: SILVERPOINT HOTELS &RESORTS SA, luego en posteriores escritos EXCEL HOTELS &RESORTS SA. Con fecha11/06/2021 se recibió respuesta indicando que el 21/12/2010 se cambió la denominación a SILVERPOINT, aportan documento 1, para variar a EXCEL HOTELS el 8/02/2013, con copia de documento 2. 2) A reclamante, en su reclamación aportaron varios burofax y cartas dirigidas a la reclamada, advirtiendo del fin de la relación por presunto incumplimiento. Se solicita que aporten acreditación de recepción del envío y su contenido por parte de la reclamada de ese comunicado, y amplié las causas que motivaron para la resolución del contrato, y si la otra parte ha impugnado en vía judicial algún punto del mismo. Aporta copia de documento 3, escrito de 13/06/2019 de la reclamada dirigido a la reclamante (ya comentado en los antecedentes) explicando que tras transcurrir el plazo de 30 días establecido en la carta entregada por la reclamante en sus oficinas el pasado 14/05/2019 “hemos accedido a facilitarle los datos que nuestra compañía “mantiene” de la reclamante, y “dado el volumen de los mismos y por razones técnicas internas” de la reclamada “dicha información se le pondrá a su disposición 10 días a contar desde el envío de la presente carta.” Aporta documento 4, que también figuraba adjunto a la reclamación, escrito en el que la reclamada, en fecha 20/06/2019, indica a reclamante que tiene él los datos de sus sistemas y que debido al tamaño sugiere el modo para entregar los mismos, El documento 5 que aporta es un escrito de la reclamada sobre la intromisión en la cuenta de correo de un empleado de la reclamada, hechos que fueron denunciados por la reclamante. Comenta las reuniones mantenidas con la reclamante sobre el asunto. Manifiesta que la reclamada incumplió un acuerdo de comercialización y reservas y cuando “rescindimos aquel contrato, “ellos nos cancelaron el acceso a los servidores, lo que derivó en la finalización del contrato de mantenimiento informático”. Adjuntan documento 6 formato mp3, un archivo sonoro de 2,25 minutos con una conversación entre dos personas, el que llama que pertenece a los hoteles y el llamado. El que llama indica que se han quedado sin acceso informático y la otra parte expone que obedece ordenes, el que llama habla de perjuicios a la empresa y clientes y explica que se les ha cancelado el contrato de reserva, de comercialización, no el de informática, y que no pueden hacer esto. La otra parte dice que probablemente se vuelva a reactivar, si el recibe la orden. 3) A reclamada y reclamante, que tipo de datos de carácter personal se gestionaban por la reclamada, que periodos abarcaban y de cuantos hoteles. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 Reclamante indica que: “Nacionalidad, nombre y apellido, dirección postal, teléfono móvil, e mail y fecha de nacimiento” El Administrador concursal de la reclamada indica que le consta que “meses anteriores a la declaración del concurso, 28/07/2020, la empresa ya no tenía actividad alguna, ni había trabajadores en la misma”, y que no tiene información de las preguntas planteadas, intentando obtenerlas del que fue director (al que identifica) del departamento de IT hasta 31/12/2018 (es decir cuando se producen los desacuerdos y la cuestión del retorno de los datos no estaba vigente) y contesta que eran datos de clientes, conteniéndose nacionalidad, nombres, direcciones números de teléfonos, correos electrónicos, y en ciertos casos fechas de nacimiento y estado civil, para cinco hoteles que identifica. Los datos almacenados lo fueron desde 2012. 4) A reclamante y reclamada, si el reclamado dictaba ordenes e instrucciones sobre los tratamientos de datos de carácter personal que se gestionaban a través de los servidores, copia de alguna. Y si no tuvo antes problemas con cuestiones de las copias de seguridad, accesos etc. Manifiesta reclamante que aporta documento 7, comunicación sobre instrucciones sobre tratamiento de los datos que SIGNALLIA “nos indica a nosotros el 20/06/2019”, que ya figura comentada en los presentes antecedentes. Reclamada indica que el acceso a datos se realizó únicamente en base a necesidad de conocerlos. En 2017 los datos de “marketing del cliente se migraron al sistema en nube “Salesforce” y las reservas y sistemas PMS a “SIHOT” (sistema de gestión hotelera) almacenado en un entorno virtual en servidores de Oracle, y no hubo problemas con la copia de seguridad o el acceso. 5) A reclamada y reclamante, ¿De quién eran titularidad los servidores en los que la reclamada almacenaba y gestionaba la información del reclamante, y porque motivos figura que el reclamante le pidió a la reclamada el traslado de los mismos? Reclamante indica que eran de su titularidad y que “por eso pidió su traslado” Aporta un correo interno en el que el 14/05/2019 el director financiero le comunica a XX (alta responsable de la reclamante) un listado con descripción de activos, años de compra y precio, incluyendo servidores de los que se dice tienen facturas subrayados en verde, y otros que “podemos acreditar que lo compramos nosotros”. Reclamada manifiesta que era propietaria de los servidores, y que el resto no puede contestar por estar de baja médica en ese momento. 6) A reclamante y reclamada, si los equipos informáticos que figuran en la hoja “informe de equipos “eran titularidad del reclamado y donde se ubicaban físicamente” y que uso se les daba. Reclamante indica que eran de su titularidad, y estaban ubicados según refiere, en distintos hoteles, hasta cuatro, más la central, identificados por sus siglas. Adjuntan documento 8 que relacionan equipos y facturas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 Reclamada manifiesta que no conoce la hoja que se cita, pero “SIGNALLIA poseía y administraba equipos tanto localmente en sus oficinas como en las salas de servidores, pero también en las salas de servidores ubicadas en cada uno de los hoteles.” 7) A reclamante y reclamada, motivo por el que al menos una de las copias de seguridad no estaba disponible por la propia reclamante. Si actualmente tienen contratados servicios similares y si han variado su modo de disponer de los accesos a ficheros y bases de datos. Manifiesta al reclamante que en el contrato de arrendamiento de servicios de 1/07/2011 en la cláusula primera, tres, se establecía como tarea cubierta por el prestatario las copias de seguridad, la gestión de la política de copias de seguridad y la custodia de las mismas. “Actualmente tenemos servidores propios y también servicios contratados a empresas que nos ofrecen diferentes productos, frente a los que nosotros contamos con credenciales que nos permiten llevar la gestión de los mismos”. “Contamos con una red propia y todos los equipos tanto de los hoteles como de la central cuentan con cuentas administradoras” de la reclamante. “Ahora contamos con un departamento interno de IT propio de la empresa, credenciales administradoras de los equipos, red propia gestionada por el departamento, figuramos como personas autorizadas ante las empresas que nos prestan servicios, credenciales para poder gestionar usuarios, contraseñas, perfiles, correos etcétera”. Reclamada indica que no ha obtenido información sobre la cuestión, no obstante “SIGNALLIA dejó de pagar las facturas de Salesforce meses antes de la declaración del concurso “ 8) A reclamante y reclamada, como funcionaba con el reclamante el aspecto al que se refiere en la reclamación de las claves o contraseñas, en algunos puntos se refieren a “la contraseña de administrador que nos permita operar con nuestros equipos informáticos” que era lo que permitía dicha clave, quien hacia uso de la misma por parte de la reclamada o en la reclamante y, quien cambiaba y cada cuando tiempo se cambiaba esta clave y por quien. Cuál era el sentido de que la clave de los equipos estuviera en poder del encargado de tratamiento. Manifiesta reclamante que la clave de administrador referida a ordenadores permitiría realizar cambios en equipos como instalar aplicaciones, cambiar configuraciones de red y, en general, cualquier cambio que no debería poder realizar un usuario normal en un equipo corporativo por cuestiones de funcionamiento y-o seguridad. La clave de administrador referida a los servidores con el control de usuarios y contraseñas corporativos permitiría crear usuarios nuevos, borrarlos, bloquearlos, asignarlos a un complejo u otro, restablecer contraseñas cuando las olvidan etc. Las claves administradoras de los sistemas de red permiten aplicar cambios de red, crear subredes, gestionar Wi-Fi, habilitar puestos de red nuevos, monitorizar la red para ver si hay problemas de seguridad etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 “Antes se dependía por completo en todos y cada uno de los sistemas e incluso en todos y cada uno de los servicios aun siendo de terceros también, dado que los que contaban con las claves de esos servicios y constaban como personas autorizadas tampoco eran de EXCEL HOTELS AND RESORTS SA. Reclamada indica que, dentro del protocolo de seguridad, cada usuario tenía sus propias contraseñas que se vieron obligados a cambiar al menos cada tres meses. 9) A reclamante y reclamada: Informe si figura pendiente algún asunto judicial relacionado con esta reclamación o ha recaído algún fallo sobre responsabilidad, indemnización etc. sobre estos hechos, con copia del fallo. En la reclamación figuraba una denuncia contra la reclamada o con eventuales deudas incluidas en el concurso de acreedores de la reclamada Reclamante indica que aparte de que su crédito se halla “reconocido” en el concurso de acreedores, no hay ningún otro asunto pendiente, y reclamada indica que no ha recibido ninguna notificación judicial relacionada con el asunto. 10) A reclamante, y reclamada, se aprecia que se inició un proceso de intento de entrega de los datos que la reclamada manejaba de la reclamante. Se desea conocer si finalmente se entregan los datos, con acreditación de lo entregado, y fecha. Reclamante indica que la entonces administradora de la reclamante “firmó un recibí de un disco duro, pero pendiente de confirmación y verificación que nunca se produjo porque faltaba información”. Aporta documento 9 en el que XX, alta responsable de la reclamante envía escrito a reclamada, de 25/07/2019, indicando que confirma que ha recibido el disco duro con los datos que eran conservados por la reclamada y que ha de comprobar y verificar que todos los datos están y se mandaría la confirmación a la reclamada de que todos los datos se han transferidos satisfactoriamente. Aportan documento 10 que es un correo interno de 26/07/2019 en el que un empleado le indica a XX “necesitamos saber con qué herramienta se han cifrado los datos y algunos detalles técnicos que supuestamente “iban a mandarnos en un e mail”, y añaden la impresión de pantalla de una conversación por “whatsapp entre nuestro informático y el de la reclamada”, en el que dice “tengo el disco duro externo y veo que hay un fichero de 3tb sin extensión. Entiendo que será cifrado”, y pregunta con que herramienta se cifró. La otra parte pregunta si no le entregaron los detalles, a lo que responde, “solo disco duro y contraseña”, a lo que la otra parte replica que tiene que hablar con otra persona, todo tiene que ser a través de él. Reclamada indica que no ofrece información sobre este punto, “al no formar parte de este proceso” DÉCIMO: Con fecha 6/07/2021, se formuló propuesta de resolución, con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a SIGNALLIA MARKETING DISTRIBUTION, S.A., con CIF A76539030, por una infracción del artículo 28.3.
  4. g)del RGPD, de conformidad con el artículo 83.4
  5. b)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 RGPD, y el artículo 74.
  6. k)de la LOPDGDD, una multa de 100.000 euros, de conformidad con el artículo 83.2.
  7. a)del RGPD y 76.2.
  8. b)de la LOPDGDD.) “ No se recibieron alegaciones en el plazo otorgado para realizarlas. HECHOS PROBADOS: 1) La reclamante, que administra la gestión de cuatro hoteles, manifiesta en su reclamación que su empresa “se ha visto afectada por la mala praxis de la reclamada al extinguir un contrato de prestación de servicios y negarnos el acceso a nuestros propios servidores, al acceso de nuestras claves, además de negarse a devolvernos todos los datos de nuestra entidad ocasionando graves daños a nuestros sistemas, a nuestro personal, además de grandes daños económicos al verse paralizado todo nuestro sistema de trabajo” Los datos personales que se gestionaban por la reclamada eran los de :”Nacionalidad, nombre y apellido, dirección postal, teléfono móvil, e mail y fecha de nacimiento” 2) La reclamante, (antes denominada SILVERPOINT VACATION SOLUTIONS SA) suscribió el 1/07/2011 contrató con la reclamada el arrendamiento de servicios de prevención, mantenimiento y asesoramiento de equipos informáticos en el entorno de las telecomunicaciones y la informática, con fines de asistir en necesidades operativas y funcionamiento. Como cláusulas, se significan las más importantes: -Objeto: Prestación de servicios de mantenimiento preventivo y correctivo de equipos informáticos del cliente, que se relacionan en ANEXO 1 en las redes de telecomunicaciones. En el servicio de soporte prestado incluía los problemas de acceso a la red de todos los equipos informáticos, el acceso remoto a e mail corporativo, o el acceso adecuado a fichero y programas (clausula primera 1.2), gestionar la política de copias de seguridad y custodiar las mismas y actuar como interlocutor en todos los aspectos técnicos con los diferentes proveedores de servicios de telecomunicación. El servicio se prestaría 24/365. En el contrato, la tercera clausula prevé que la duración del contrato inicialmente fue por dos años, hasta 30/06/2013, con prorrogas tácitas por periodos de un año, si no hay denuncia con 30 días de antelación a la fecha de vencimiento que corresponda. También se prevé la resolución por incumplimiento de alguna de las estipulaciones, preavisando la parte cumplidora a la otra con cinco días. En la cláusula 12ª añade: resolución del contrato: “cualquiera de las partes podrá dar por terminado el presente contrato en cualquier momento de su duración mediante comunicación escrita a la otra parte con una antelación no inferior a dos meses de la fecha de terminación interesada. Como causas de resolución se indican además de las generales del código de comercio y civil, “las derivadas del incumplimiento por parte del cliente de las obligaciones contraídas en virtud del contrato” La cláusula 11ª titulada: “Protección de Datos”, señala: “Como consecuencia del presente contrato para la ejecución del mismo, el prestatario tendrá acceso a datos del cliente de carácter personal que se hallan sujetos al régimen legal previsto por LOPD y su normativa de desarrollo. A tales efectos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 cumplimiento de lo dispuesto en el artículo 12 de la LOPD, el prestatario expresamente manifiesta y se obliga a utilizar y tratar los datos con el único y exclusivo objeto de cumplir el presente contrato siguiendo en todo caso las instrucciones recibidas del cliente. Expresamente se abstendrá de dar a los datos cualquier uso distinto al acordado y en especial se abstendrá de alterarlos, utilizarlos para su propio interés empresarial, o comunicarlos o permitir el acceso de terceros a los mismos ni siquiera para su conservación. En el supuesto de que tuviera que comunicar los datos a un tercero para el desarrollo de este contrato, el prestatario se lo comunicará al cliente para que éste suscriba un contrato con dicho tercero. Observar la máxima confidencialidad de reservas respecto de los datos que le sean facilitados por el cliente con respecto al desarrollo del objeto del presente contrato comprometiéndose a no desvelar ninguna tercera persona ninguno de estos datos, así como cualquier otra información que se hubiera facilitado respecto a la compañía. A devolver al cliente, una vez concluida la prestación de servicios objeto del presente contrato todos los documentos y archivos en los que se hallan reflejados todos o algunos de los datos cualquiera que sea su soporte o formato, así como las copias de estos.” -cláusula novena: “niveles de cumplimiento de los servicios”: El cliente determinará la organización de los servicios a prestar dictando aquellas normas genéricas necesarias para un normal y óptimo ejercicio de los servicios, quedando en todo caso a favor del prestatario la facultad de dirección y coordinación del servicio y del personal encargado de la prestación del mismo.” 3) En documento 1 de la reclamación, la reclamante pide a la reclamada el 29/04/2019 como “instrucción del contrato”, “que como les hemos puesto de manifiesto reiteradamente”, “es nuestra intención cambiar el lugar en el que se encuentran almacenados los servidores de nuestra compañía, de forma que pasen a estar ubicados en nuestras oficinas centrales” “a día de hoy vienen haciendo caso omiso a nuestra solicitud”, anunciando que si no ponen a su disposición los servidores, denunciaran penalmente. La reclamante no aporta prueba de que se hubiera entregado a la reclamada. 4) Las partes por desacuerdos, deciden resolver su relación. Figura un escrito de reclamada, documento 3, de ***FECHA.3, que indica que, si no se le abona lo que se le debe, rescindirá el contrato con fecha efectos ***FECHA.2, respondiendo la reclamante a la reclamada en escrito de ***FECHA.4 que la contraparte les debe una cantidad mayor- superior a 10 millones de euros- en documento 3-1, titulado contestación a la carta de ***FECHA.3. Le informa que han interpuesto una demanda contra ellos y le indica que han incumplido la “obligación de poner a disposición de la reclamante los servidores de su propiedad, cuestión que está causando un grave perjuicio a la sociedad y se niegan a facilitar la contraseña de administrador que nos permita operar con nuestros equipos informáticos cuestión que supone un incumplimiento del citado contrato”. 5) La reclamada tenía acceso a los servidores de la reclamante y así se deriva también de las actuaciones de investigación hechas por la reclamada con objeto del intento de estafa en el hackeo de la cuenta de correo de un empleado de la reclamante, que esta puso en conocimiento de la Policía en fecha 23/05/2019. En esas investigaciones colaboró la reclamada, siendo a la vez denunciada por la reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 posteriormente ante la Policía, el 7/06/2019, por mala praxis profesional y estafa, sin más documentación que revele los motivos. Se desconoce el resultado al no haber manifestado nada las partes, tan solo en pruebas comunicaron que no tienen pendencia judicial por ninguna cuestión entre ellas, salvo la inclusión de créditos de la reclamante en el concurso de la reclamada. 6) El representante de la reclamada indicó que esta “poseía y administraba equipos tanto localmente en sus oficinas como en las salas de servidores, pero también en las salas de servidores ubicadas en cada uno de los hoteles.” 7) La reclamante aporta una amplia lista de equipos informáticos que estaban ubicados en distintos hoteles que administraba la reclamada, así como de servidores, que acredita son de su titularidad que se gestionaban dentro del contrato de encargo de tratamiento. 8) En documento 6, de 13/06/2019, la reclamada le indicó a la reclamante :“petición de datos en base a los derechos arco “”Tras transcurrir el plazo legal de 30 días establecido en la carta entregada por día en nuestras oficinas el pasado 14/05/2019 hemos accedido a facilitar los datos que nuestra compañía mantiene de EXCEL HOTELES Y RESORTS SA.” “Dado el volumen de los mismos y por razones técnicas internas de SIGNALLIA dicha información se le pondrá a su disposición 10 días a contar desde el envío de la presente carta”. “ 9) El 14/06/2019, la reclamante, en un escrito le indica a la reclamada: “ha pasado el tiempo del plazo de respuesta del derecho de acceso” que la reclamante interpuso el 14/05/2019 a la reclamada, y a que sigue sin entregar los datos ni devolver los servidores ni facilitar las claves de acceso para poder acceder al sistema, y que el incumplimiento ha supuesto un grave perjuicio, comunicando que interponen denuncia ante la AEPD 10) Con fecha 20/06/2019, la reclamada se dirige a la reclamante indicándole el modo de proceder para que se le entregue la copia de los datos (doc. 8 de la reclamación), “entregando un disco duro que tardará en grabar los datos dos días”. Se desprende de los correos de la reclamante, que el 1/07/2019 sus empleados se dirigieron a la sede de la reclamada para intentar recuperar los datos y no se les admitió dejar el disco duro para comenzar el proceso so pretexto de que no estaba el responsable. A fecha 26/07/2019, según documento 10 aportado en pruebas subsistían problemas con los datos titularidad del reclamante. 11) La reclamada estuvo un tiempo, sin posibilitar a la reclamante el acceso a sus datos, sus sistemas y sus servidores. La reclamante en su reclamación señala que desde 7/06/2019, y lo reitera en algún escrito posterior, como el de 14/06/2019, de que no tenía acceso a los datos, afectando a la contabilidad, facturación, declaración mensual de impuestos y facturas entre otros. Adicionalmente, la reclamada fue retrasando la entrega de datos a devolver a la reclamante por motivos ajenos a la reclamante. La reclamante aporta en pruebas un archivo sonoro en el que se escucha a un empleado de la parte reclamante que manifiesta que se han quedado sin acceso informático y la otra parte expone que obedece ordenes, de “C.C.C.”, persona que figura en algunas firmas de escritos de la reclamada. El que llama habla de perjuicios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 a la empresa y clientes y explica que se les ha cancelado el contrato de reserva, de comercialización, no el de informática, y que no pueden hacer esto. La otra parte dice que probablemente se vuelva a reactivar, si el recibe la orden. La reclamante no señala fecha o periodo en que podrían haber estado sin servicio y en el escrito de reclamación explica los daños que el no acceso le ha provocado. 12) La reclamante, aunque firmó la recepción de un disco duro cifrado con información de sus datos entregado por la reclamada, quedó pendiente de confirmación y verificación que “nunca se produjo porque faltaba información”. Se acredita porque la reclamante le puso un correo a la reclamada el 25/07/2019, indicando que debía verificar que estuviera todo y le mandaría una confirmación de que todo estaba bien. Como se aprecia en documento 10 de su respuesta en pruebas por reclamante, 26/07/2019, al día siguiente envía un correo electrónico a reclamada que revela que los datos están cifrados y no se les ha mandado la herramienta. En la copia de impresión de pantalla de WhatsApp entre las partes sobre la ausencia de los detalles necesarios para extraer los archivos, la reclamada remite de nuevo al superior. 13) En el BOE de 24/10/2020, aparece publicado un edicto del Juzgado de lo Mercantil núm. 2 de ***PROVINCIA.1, en el que se indica la referencia de la reclamada incursa en el procedimiento concursal núm. XXX, en el que se dictó auto de XXXX, rectificado el 13/10/2020, declarando el concurso de la mercantil SIGNALLIA MARKETING DISTRIBUTION S.A., CIF A76539030. El Administrador concursal señala que “meses anteriores a la declaración del concurso, 28/07/2020, la empresa ya no tenía actividad alguna, ni había trabajadores en la misma”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El RGPD se refiere -en el apartado 8 de su artículo 4-, al encargado del tratamiento o encargado como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento” (aquí la reclamada), y artículo 4.7 del RGPD “responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”, aquí el reclamante, que claramente se aprecia que estableció ordenes respecto a sus servidores, se le interrumpió el servicio y no se le retornaron los datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 siendo que todos ellos realmente le pertenecen a el por la gestión del negocio, su recogida y tratamiento de los que son sus directos responsables el reclamante. El tratamiento por el encargado se regirá por un contrato o acto u otro acto jurídico con arreglo al derecho de la Unión o de los Estados miembros que vincule el encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable (28.3 RGPD). En consecuencia, la figura del encargado del tratamiento obedece a la necesidad de dar respuesta a fenómenos como la externalización de servicios por parte de las empresas y otras entidades, de manera que en aquellos supuestos en que el responsable del tratamiento encomiende a un tercero la prestación de un servicio que requiera el acceso a datos de carácter personal, por éste acceso no pueda considerarse como un tratamiento distinto sino que sirve a su responsable, realizándose las actuaciones por el encargado en nombre y por cuenta del responsable, como si fuera este mismo quien lo lleva a cabo. El encargado debe ofrecer garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del reglamento (art 28.1 RGPD). A estos efectos, el titular de los datos no ejerce ni puede ejercer el derecho de acceso a unos datos que son suyos, de los que es responsable el directamente, al haberlos recogido y al establecer los datos que recoge y los fines a los que los destina. El derecho de acceso es un derecho personalísimo del titular de los mismos, que no se ha de confundir con el responsable del tratamiento y el poder que ostenta sobre los mismos. Cuando un responsable firma un contrato de encargo de tratamiento con un tercero, lo que se hace es instrumentar un negocio jurídico que debe cumplir ciertos requisitos para entender que los datos son tratados no por un tercero, sino por un tercero por cuenta del responsable, por lo que no se produce un traspaso, transferencia o cesión de datos a un tercero ajeno, sino que continúan en el círculo del responsable. También y por ello, existe la facultad del responsable y la obligación específica para el encargado, cuando reciba una orden de ajustarse a la misma según se desprende del artículo 29 del RGPD: “El encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar dichos datos siguiendo instrucciones del responsable, a no ser que estén obligados a ello en virtud del Derecho de la Unión o de los Estados miembros”. Ciertamente que como se ha dicho, las instrucciones del responsable del tratamiento aún pueden dejar cierto grado de discreción sobre cómo servir mejor a los intereses del responsable del tratamiento, permitiendo que el encargado del tratamiento elija los medios técnicos y organizativos más adecuados. En la práctica, si un responsable del tratamiento contrata a un encargado del tratamiento para que lleve a cabo el tratamiento en su nombre, a menudo significa que el encargado del tratamiento podrá tomar determinadas decisiones por sí mismo sobre cómo llevar a cabo el tratamiento. Se reconoce que puede existir cierto margen de maniobra para que el encargado del tratamiento también pueda tomar algunas decisiones en relación con el tratamiento. Aquí la reclamada tiene un papel técnico por cuanto la toma de datos de clientes de hotel se lleva a cabo por el reclamante que los introduce en el sistema, sirviendo la reclamada los medios técnicos con material aportado por la misma reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 Dado que el tratamiento debe realizarse en nombre de un responsable del tratamiento, pero no bajo su autoridad o control directo, actuar “en nombre de” significa servir a los intereses de otra persona y recuerda el concepto jurídico de “delegación”. En este caso, no se atendieron las instrucciones de cambios de servidor, se dejó sin acceso a los sistemas deliberadamente por la reclamada y no se atendieron en tiempo la devolución de los datos retrasando y poniendo condiciones a unos datos propios del responsable por cuestiones no justificadas. Es el responsable, en este caso el reclamante, el que decide poner en manos del encargado los datos para que sobre ellos lleve a cabo las tareas acordadas en el contrato. En este caso, actividades de carácter técnico de telecomunicaciones, servidores y accesos a sistemas y su almacenamiento. Incluso utilizando la reclamada su experiencia y discrecionalidad en cuestiones técnicas, el control de los datos reside en la reclamante. En el presente caso, se trata de una situación que afecta a la reclamante en el desarrollo de sus actividades con los datos de los que es responsable ya que pese a sus requerimientos, la reclamada no ha entregado los ficheros de datos personales ni los servidores, dificultando e incluso imposibilitando la realización de la actividad ordinaria de gestión del tráfico mercantil habitual de su actividad. En definitiva, la infracción que se acredita y se imputa a la reclamada es la del artículo 28.3.
  9. g)que indica: “3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  10. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros”. III Determina el artículo 83.4 del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  11. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; El artículo 74 de la LOPDGDD, indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: “
  12. k)El incumplimiento por el encargado de las estipulaciones impuestas en el contrato o acto jurídico que regula el tratamiento o las instrucciones del responsable del tratamiento, salvo que esté legalmente obligado a ello conforme al Reglamento (UE) 2016/679 y a la presente ley orgánica o en los supuestos en que fuese necesario para evitar la infracción de la legislación en materia de protección de datos y se hubiese advertido de ello al responsable o al encargado del tratamiento” En modo alguno se finalizó con la entrega de los datos que titularidad de la reclamante, no se acredita haberse hecho efectiva, según reconoce la reclamada que nunca se facilitó finalmente la totalidad de los datos a pesar del tiempo transcurrido. El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  13. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular. IV La determinación de las sanciones que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  14. a)a
  15. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  16. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  17. b)la intencionalidad o negligencia en la infracción;
  18. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  19. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  20. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20
  21. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  22. g)las categorías de los datos de carácter personal afectados por la infracción;
  23. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  24. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  25. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  26. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción.
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  33. f)La afectación a los derechos de los menores.
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” Para la valoración de la sanción, se contenía en el acuerdo de inicio su valoración sin perjuicio de la instrucción, y como cantidad por la infracción estimada, se consideraron 100.000 euros de sanción. Se tuvo en cuenta: -La perturbación en el desarrollo de las actuaciones de la reclamante de especial gravedad al impedir operar con los datos (83.2.a RGPD) desde 7/06/2029, añadiéndose que a 26/07/2019 tampoco se completa ni se acredita por la que lleva a cabo el tratamiento por cuenta de la reclamante que cumpliera con dicha obligación ordinaria estaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 blecida en los contratos de encargo de tratamiento, no considerándose pues entregados (art 83.2.
  36. a)del RGPD. - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (art. 76.2 b LOPDGDD). Se ratifican tras la instrucción y propuesta las citadas circunstancias y cuantía. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de la sanción cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER una multa de 100.000 euros, a SIGNALLIA MARKETING DISTRIBUTION, S.A., con CIF A76539030, por una infracción del artículo 28.3.
  37. g)del RGPD, de acuerdo con el artículo 83.4
  38. b)del RGPD, y el artículo 74.
  39. k)de la LOPDGDD, con las circunstancias concurrentes en los artículos 83.2.
  40. a)del RGPD y 76.2.
  41. b)de la LOPDGDD. SEGUNDO: NOTIFICAR DISTRIBUTION, S.A. la presente resolución a SIGNALLIA MARKETING TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  42. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  43. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.