PS-00335-2020

1/18  Procedimiento Nº: PS/00335/2020 RESOLUCIÓN R/00066/2021 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00335/2020, instruido por la Agencia Española de Protección de Datos a IDFINANCE SPAIN, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 14 de enero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IDFINANCE SPAIN, S.L. (en adelante, el reclamado), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00335/2020 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 11 de mayo de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IDFINANCE SPAIN, S.L. con NIF B66487190 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “La empresa IDFINANCE SPAIN (MoneyMan), ha enviado un correo electrónico de recuperación de deuda en el que ofrece un enlace para realizar el pago en su web, el enlace(***URL.1), no me da acceso a mi cuenta, si no a la de otro cliente, pudiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 solicitar préstamos, consultar todos sus datos personales e información relativa a préstamos de la entidad en cuestión. Adjunto captura de los datos a los que tengo acceso, además del mail que he recibido, mi mayor preocupación es que al igual de que yo tengo acceso a esta información que no debo de poder ver tan libremente, suceda lo mismo con mis datos personales y la de otros clientes.” Junto a la reclamación aporta los siguientes documentos: 1. Correo enviado el 11 de mayo de 2020 a las 17:22 desde la cuenta <***EMAIL.1> a <***EMAIL.2> donde se le informa de un saldo a favor de MoneyMan y se ofrecen diversas modalidades de pago entre las que se encuentra el servicio de pago on line accediendo al enlace objeto de la reclamación. 2. Captura de pantalla de la página “Historial de préstamos” del contrato ***CONTRATO.1 donde figura un enlace de descarga del contrato. 3. Captura de pantalla de la página “Mis tarjetas” donde figuran enmascarados los números centrales de una tarjeta de débito. 4. Captura de pantalla de la página “Información de contacto” donde figuran el NIE, fecha de nacimiento y de correo electrónico de una persona con nombre y apellidos B.B.B. 5. Captura de pantalla de la página “Dirección y empleo” donde figuran dirección, situación laboral e información sobre ingresos netos mensuales. SEGUNDO: Con fecha 13 de mayo de 2020, la Subdirección General de Inspección de Datos llevó a cabo una comprobación del enlace objeto de la reclamación, recogiendo las siguientes evidencias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 1. Descarga de documento que contiene los Términos y Condiciones por el que se rige el contrato de préstamo suscrito entre IDFINANCE SPAIN, S.L. y B.B.B.. 2. Impresión de página que avisa de que “[…] tu cuenta ha sido bloqueada porque no cumples con los requisitos para poder obtener un préstamo en Moneyman […]” 3. Impresión de la página “Historial de préstamos” del contrato ***CONTRATO.1. 4. Impresión de la página “Mis tarjetas” donde figuran números enmascarados (salvo los últimos 4 dígitos) de una tarjeta de débito. TERCERO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió, el día 3 de junio de 2020, a efectuar traslado de la reclamación, de conformidad con los dispuesto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). En este escrito se solicitaba al reclamado que, en el plazo de un mes analizase la reclamación e informase acerca de las causas que han motivado la incidencia que ha originado la reclamación, informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. El reclamado presentó escrito de contestación el día 12 de julio de 2020 en el que manifiesta los siguiente: “[…] PRIMERO. - Recibida la reclamación de esa Agencia, esta entidad inició la investigación de los hechos, en primer lugar, verificando que en los sistemas no se hubiera producido ningún tipo de brecha de seguridad que hubiese dado acceso a datos personales de la base de datos. Dicha verificación fue negativa y se constató que no se produjo ningún fallo en el sistema que permitiera una difusión general de los datos personales de los clientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 SEGUNDO. - […] Una vez que un cliente se registra en la página web se crea automáticamente su Área de Usuario, a la que únicamente puede acceder mediante su usuario y contraseña únicos. [...] […] cuando los clientes entran en situación de impago, los agentes del Departamento de recobro inician las diferentes acciones para que los clientes cumplan con el pago del préstamo. Una de ellas es enviar, a través de SMS, nunca por correo electrónico, un enlace para realizar el pago directamente a su Área de Usuario, que es lo que el reclamante aporta en la reclamación. TERCERO. - Recibida la reclamación del Sr. A.A.A. se procedió a realizar, como se ha explicado anteriormente, una exhaustiva investigación- Descartada la brecha de seguridad, se inició la investigación de los hechos descritos en la reclamación del Sr. A.A.A.. […] Dicho enlace se genera de forma manual en el sistema, en el CRM donde se gestionan los préstamos de los clientes hay la opción de enviar el SMS con dicho enlace. Desconocemos como el reclamante pudo recibir ese enlace por correo electrónico dado que únicamente se genera para ser enviado a través de SMS. Tampoco hemos podido realizar la investigación de dicho correo dado que el reclamante no lo aportó en la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 Sin embargo, se ha procedido a realizar una búsqueda en los buzones de correo electrónico desde los que se envían las notificaciones a los clientes y no hay ningún correo electrónico enviado ni al reclamante, ni al Sr. B.B.B. Asimismo, se ha procedido a realizar una búsqueda de todos los SMS enviados por el sistema en el expediente del Sr. B.B.B. y el único número de teléfono que aparece es el que pertenece a dicho cliente, por lo que es técnicamente imposible que ese SMS se haya enviado a otro número de teléfono. Asimismo, se ha procedido a extraer de la base de datos todos los accesos que se realizaron a dicho enlace, con las direcciones IP, el navegador y demás datos, en los que se aprecia que, a pesar de que el enlace tiene una caducidad de 7 días, se accedió un número elevado de veces al mismo, siendo incluso abierto desde el aplicativo WhatsApp. CUARTO.- A tenor de lo anterior en cuanto a los hechos descritos por el Sr. A.A.A. en su reclamación, efectivamente tuvo acceso al enlace enviado a través de SMS al número de teléfono del Sr. B.B.B. y a su Área de Usuario, y dado que IDFinance Spain S.L.U. escrupulosamente vela por los derechos de protección de datos de los interesados, procedió a tomar las medidas en aras a proteger los derechos del Sr. B.B.B., esto es, bloquear sus datos en los sistemas hasta que se pueda conocer cómo el Sr. A.A.A. tuvo acceso a dicho enlace. […] se solicita a esa Agencia para que requiera al Sr. A.A.A. que aporte el correo electrónico que recibió con dicho enlace. […]” El reclamado anexa a este escrito un documento donde se relacionan los accesos al enlace efectuados entre los días 24 de abril de 2020 hasta el 14 de mayo de 2020. CUARTO: La reclamación fue admitida a trámite mediante resolución de la Directora de la Agencia Española de Protección de Datos de fecha 25 de septiembre de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 5 del RGPD, cuya rúbrica lleva por título Principios relativos al tratamiento establece en la letra

1. f)de su apartado 1 que los datos personales serán “tratados de tal manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (“integridad y confidencialidad”)”. Por su parte, la LOPDGDD, en su artículo 5 dispone que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
2. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 En relación con las medidas mencionadas en el artículo 5.1.
3. f)del RGPD antes transcrito, el artículo 32 de la misma norma dispone que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
4. a)la seudonimización y el cifrado de datos personales;
5. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
6. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
7. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2.Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3.La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 4.El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 III La reclamación se basa en la presunta brecha de seguridad en los sistemas del reclamado que se habría traducido en la puesta a disposición de un tercero de un enlace que habría permitido libremente el acceso a datos personales de carácter identificativo, de localización y económicos y contractuales de otro usuario cliente y por lo tanto una vulneración del principio de confidencialidad en el tratamiento de datos personales por parte del responsable de dicho tratamiento. Como prueba de estas manifestaciones el reclamante aportó los documentos a que se ha hecho referencia en el hecho primero de este acuerdo. De esta manera, el correo aportado mostraría que, a pesar de los manifestado por el reclamado en su escrito de fecha 12 de julio de 2020 en el sentido de que el enlace únicamente se genera para ser enviado por SMS, el día 11 de mayo de 2020 a las 17:22 horas se habría enviado un correo electrónico desde la cuenta <***EMAIL.1> a <***EMAIL.2>. En este correo aparece el enlace ***URL.1 como acceso al servicio de pago on line de una cantidad dineraria a favor del reclamado. Asimismo, el reclamante aporta capturas de pantalla de la cuenta de usuario a la que proporciona acceso el enlace referido en el párrafo anterior y que no corresponde con la suya, sino de otra persona y que permite accede a datos personales de carácter identificativo, de localización y económicos, así como a un vínculo que permite descargar el contrato suscrito del cliente con el reclamado. El acceso libre al contenido de diversas páginas de la cuenta de usuario a partir del enlace referido, así como la posibilidad de descarga del contrato, fueron confirmados por las comprobaciones efectuadas a que se ha hecho referencia en el hecho segundo y que fueron remitidas como documentación anexa al traslado de la reclamación enviada al reclamado el día 3 de junio de 2020. Por otra parte, se señala que, de acuerdo con el listado de accesos al enlace referido aportado por el reclamado, se habría accedido al mismo entre el 24 de abril de 2020 y el 14 de mayo de 2020, período de tiempo claramente superior a los 7 días de caducidad establecido para dichos enlaces que señala el reclamado en su escrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 Teniendo en cuenta que el artículo 4.12) del RGPD define las violaciones de seguridad de los datos personales como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”, los expuesto en los párrafos anteriores mostraría que se habría producido una violación de las medidas de seguridad que habría permitido: 1º Que el enlace se hubiera comunicado por una vía (correo electrónico) distinta al SMS enviado al teléfono móvil del cliente que, de acuerdo con lo manifestado por el reclamado constituye el procedimiento de actuación. 2º Que el enlace hubiera estado activo durante un tiempo superior a los 7 días de caducidad que declara el reclamado en su escrito de contestación. 3º Que se haya podido acceder libremente, a través del referido enlace, al área de usuario sin que mediase la introducción de usuario y contraseña, forma que el reclamado señala como única manera de acceder a dicha área de usuario IV De conformidad con los indicios de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos incumplen lo establecido en los artículos 5.1.
8. f)y 32 del RGPD, por lo que podrían suponer la comisión de sendas infracciones. La infracción tipificada en el artículo 5.1.
9. f)se tipifica en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18
10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” Por su parte, la infracción del artículo 32 del RGPD se tipifica en el artículo 83.4 de la citada norma, donde se determina que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
11. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; […]” A efectos del plazo de prescripción de las infracciones, el artículo 72.1 de la LOPDGDD, señala: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. […] Y por su parte el artículo 73 de la LOPDGDD, que: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: […]
13. g)El quebrantamiento, como consecuencia de la falta de la debida diligencia, de las medidas técnicas y organizativas que se hubiesen implantado conforme a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679. […]” V Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
14. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
15. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 VI En el presente caso, sin perjuicio de lo que resulte de la instrucción, se han tenido en cuenta, en especial, los siguientes elementos. 1. Como circunstancia agravante, se toma en consideración la vinculación de la actividad del reclamado con la realización de tratamientos de datos personales puesto que su actividad conlleva necesariamente el tratamiento de datos personales de los clientes (artículo 76.2.
16. b)del LOPDGDD). 2. Como circunstancia atenuante, se considera la cooperación mostrada por el reclamado con la Agencia Española de Protección de Datos en la fase de traslado de la reclamación (artículo 83.2.f del RGPD). Por todo ello, se considera que las sanciones que correspondería imponer serían las siguientes:  Por la infracción del artículo 5.1.
17. f)se considera que la sanción adecuada es la de multa administrativa. A este respecto, La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
18. k)del citado artículo 83.2 RGPD. En base a lo anterior, se considera proporcional fijar la sanción a imponer en la cuantía de cinco mil euros (5.000,00 €).  Por la infracción del artículo 32, una sanción de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
19. b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Por otra parte, de confirmarse la existencia de conducta infractora, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 artículo 58.2
20. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […]”. En tal caso, en la resolución que se adopte, esta Agencia podrá requerir al responsable para que en el plazo que se determine:  Acredite que ha verificado y corregido la implementación de las medidas de seguridad técnicas, organizativas o ambas, que eviten la vulneración del principio de confidencialidad y la puesta a disposición de terceros de datos personales de los clientes. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a IDFINANCE SPAIN, S.L., con NIF B66487190, por las presuntas infracciones de los artículos 5.1.
21. f)y 32 del RGPD, tipificadas en los artículos 83.5 y 83.4, respectivamente, de la citada norma. SEGUNDO: NOMBRAR instructora a C.C.C. y secretaria a D.D.D., indicando que cualquiera de ellas podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 CUARTO: QUE a los efectos previstos en el art. 64.2
22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la sanción que pudiera corresponder por la infracción del artículo 5.1.
23. f)del RGPD sería de CINCO MIL EUROS (5.000,00 €), y por la del artículo 32 de la misma norma, un APERCIBIMIENTO. Todo ello sin perjuicio de lo que resulte de la instrucción. Asimismo, la confirmación de la conducta infractora podrá conllevar la imposición de medidas de acuerdo con lo establecido en el citado artículo 58.2
24. d)del RGPD. QUINTO: NOTIFICAR el presente acuerdo a IDFINANCE SPAIN, S.L., con NIF B66487190, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
25. f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en CUATRO MIL EUROS (4.000,00 €), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en CUATRO MIL EUROS (4.000,00 €) y su pago implicará la terminación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en TRES MIL EUROS (3.000,00 €). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente CUATRO MIL EUROS (4.000,00 €) o TRES MIL EUROS (3.000,00 €), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid 935-200320 www.aepd.es sedeagpd.gob.es 17/18 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 23 de enero de 2021, el reclamado ha procedido al pago de la sanción en la cuantía de 3.000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
26. d)e
27. i)y 38.4 d),
28. g)y
29. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00335/2020, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a IDFINANCE SPAIN, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
30. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-031219 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es