← España

PS-00346-2024

1/22  Expediente N.º: EXP202408376 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202408376 Procedimiento Sancionador Nº. PS/00346/2024 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: B.B.B. (en adelante, la parte reclamante) con fecha 24 de mayo de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra los APARTAMENTOS BUENAVISTA HOME, situados en Av de Galdar, edificio Buenavista, (…) de San Bartolomé de Tirajana Los motivos en que basa la reclamación son los siguientes: “Con fechas del 10 al 12 de mayo de 2024, nos alojamos en los apartamentos Buenavista Home, ubicados en la avenida de Galdar, edificio Buenavista (…) en el municipio de San Bartolomé de Tirajana, provincia de Las Palmas de Gran Canaria: C.C.C. con DNI ***NIF.1, D.D.D. con DNI ***NIF.2, E.E.E. con DNI ***NIF.3, F.F.F. con DNI ***NIF.4 y yo, B.B.B. con DNI ***NIF.5 (se acompaña a la presente el recibo de reserva de Airbnb). Con motivo de dicho alojamiento y una vez realizada la reserva, con fecha de 09 de mayo de 2024 para realizar el check-in se nos solicita de manera telemática que adjuntemos imagen de los DNI (acompañándose la presente de capturas de pantalla en las que se nos requiere que aportemos copia de los DNI), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/22 considerándose por quien interpone la siguiente reclamación que dicha actuación contraviene de manera flagrante las disposiciones aplicables en materia de protección de datos por nuestra legislación”. Expuesto lo anterior, se considera que se ha realizado un tratamiento de datos personales inadecuado y que excede de lo dispuesto en el art. 5.1.C del RGPD, pues los datos recabados no son necesarios para el fin específico del tratamiento. Solicitándose por medio de la presente que se proceda a la eliminación del tratamiento de esos datos personales, al haber concluido la finalidad para la que fueron obtenidos de conformidad con lo dispuesto en el art 17 RGLPD”. Aporta documento de la reserva realizada y los mensajes de WhatsApp mantenidos con la encargada de la gestión del apartamento y una de las 5 huéspedes donde se les solicita la remisión de copia de los documentos de identidad de los huéspedes del alojamiento contratado para poder realizar el check in online. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha de 7 de junio de 2024, se dio traslado de dicha reclamación a la entidad BUENAVISTA HOME S.L, tras realizar una búsqueda del nombre comercial y NIF de la misma, al no constar dichos datos en la reclamaciónpara que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó mediante notificación electrónica a la dirección electrónica única que constaba de dicha entidad y mediante notificación postal dirigida al domicilio señalado en la reclamación, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue entregado por vía electrónica a la misma en fecha de 11 de junio de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 11 de junio de 2024 se recibe en esta Agencia escrito de respuesta de la entidad BUENAVISTA HOME S.L, haciendo constar que no disponen de sede en el municipio al que se refiere la reclamación, y que no son la entidad gestora de los apartamentos Buenavista Home de San Bartolomé de Tirajana, concurriendo una coincidencia en el nombre de esos apartamentos con el nombre de su sociedad. TERCERO: Con fecha de 13 de junio de 2024 se remite de nuevo el traslado de la reclamación a los APARTAMENTOS BUENAVISTA HOME, dirigida a la dirección postal a la que se refería la reclamación, para que de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 Públicas (en adelante, LPACAP), fue recogido en fecha de 28 de junio de 2024 en el domicilio postal, como consta en el acuse de recibo que obra en el expediente. CUARTO: Con fecha de 10 de julio de 2024 se recibe en esta Agencia escrito de A.A.A., que se identifica como la persona que alquila el apartamento al que se refiere la reclamante en la plataforma Airbnb a título particular, no existiendo constituida la sociedad BUENAVISTA HOME, siendo éste el nombre que le dio a los apartamentos en la plataforma. Respecto a los hechos objeto de reclamación, señala lo siguiente: - - - - Que no es una sociedad mercantil, que es una particular que alquila su vivienda vacacional, y por su falta de conocimientos y capacidad no está en disposición de aportar la mayoría de los documentos que se solicitan en el escrito de traslado. Que todas las gestiones las realiza a través de plataformas de terceros. Que ha contratado la gestión de comunicaciones con los inquilinos con la entidad “Checkin Soluciones Digital, S.L”, con la que ha contactado y le han indicado los motivos por los que entienden que la solicitud de copia del DNI es legal. Considera que la solicitud de copia del DNI es pertinente, adecuada y limitada a comprobar la veracidad de los datos procediéndose a borrar la copia del DNI una vez contrastada la información. Que siendo una comunicación a distancia, sin recepción presencial -en la que manifiesta que entiende que la Agencia controle la recopilación del DNI por los establecimientos- en el caso de su apartamento turístico, en el que no hay recepción presencial precisa el DNI para poder cerciorarse de la veracidad de los datos aportados por la reclamante, ya que considera que es necesario este control para dar cumplimiento a la orden de comunicar la información de los huéspedes a las Fuerzas y Cuerpos de Seguridad como medio de prevención del fraude. Se compromete a no guardarla o almacenarla más del tiempo necesario para comprobar dichas identidades. QUINTO: Con fecha de 4 de septiembre de 2024 se expide Diligencia para hacer constar que a fecha de hoy se ha comprobado que la entidad “CHECK IN SOLUCIONES DIGITALES S.L” con NIF B21579990 oferta en su página web con url: Automatiza el proceso de check-in en tu hotel (chekin.com), la posibilidad de contratar una Aplicación denominada “Checkin” por parte de los titulares de alojamientos, cuya política de privacidad se adjunta como Anexos I y II, y que establece como requisito la aportación de una imagen de las dos caras del documento de identidad del huésped como método de verificación de identidad, sin el cual no es posible finalizar el proceso de registro online del mismo, según el procedimiento descrito en el Anexo III. - Anexo I. Política de privacidad para el anfitrión, obtenida de la url: Política de privacidad | CheKin - Anexo II. Política de privacidad para el huésped (genérica de los alojamientos), obtenida de la url: Política de privacidad genérica de los alojamientos - Chekin. - Anexo III. Procedimiento de check in online y método verificación identidad de los huéspedes. Check-in online para Alojamientos Turísticos | Chekin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. II Procedimiento El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no i contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

  1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones Previas Los datos contenidos en la imagen del DNI en ambas caras se consideran datos personales, cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, y 4.2 del RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) En el presente caso, consta que la reclamada ha realizado un tratamiento de datos personales de 5 personas que se alojaron en su vivienda vacacional, a quienes ha requerido sus datos personales al objeto de poder registrar el alojamiento de las mismas, a través del proceso de check in online. Recabar, recopilar y almacenar, en su caso, dichos datos personales son sin duda operaciones de tratamiento de datos personales, en el sentido previsto en el artículo 4. 2 del RGPD. La entidad reclamada es la responsable del tratamiento de los datos personales realizado en el supuesto presente, puesto que como titular del hospedaje (vivienda turística alquilada), decide sobre los fines y los medios del tratamiento de los datos personales de sus huéspedes, de acuerdo con lo previsto en el artículo 4. 7 del RGPD, que dispone lo siguiente: 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” En el presente supuesto, la reclamada manifiesta que ha contratado la gestión de la comunicación con los huéspedes con la entidad “CHECK IN SOLUCIONES DIGITALES, SL.” Y de acuerdo con el contenido de la Diligencia que ha sido expedida el pasado 4 de septiembre de 2024, la contratación de la gestión de “comunicación con los huéspedes” a la que se refiere la reclamada implica que la entidad contratada se encarga del requerimiento de la información/documentación necesaria para la prestación del servicio de hospedaje, toda vez que se ha comprobado que la mencionada empresa presta un servicio integral a los que denomina “anfitriones”, que desean alquilar su vivienda, a través de una aplicación y plataforma web denominada “Checkin”, en la que los huéspedes deben realizar el registro de self check in. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 No obstante, aún en los casos de contratación del uso de la referida aplicación/plataforma con dicha empresa, la denominada como “política de privacidad del huésped” que consta en la web de Checkin (que es la genérica de los alojamientos referida a los datos personales proporcionados por los huéspedes), que se diligencia como Anexo II, hace constar claramente que el propietario del alojamiento será el responsable de sus datos personales: “1. General Para habilitar el uso de la aplicación Chekin y del resto de plataformas en las que se ofrecen los servicios de Chekin, es necesario ser usuario registrado de la misma y aceptar las reglas de privacidad que se detallan a continuación a tal efecto, de acuerdo con las establecidas en el Reglamento Europeo de Protección de Datos (Reglamento 2016/679) y las leyes específicas del país y la región donde se encuentra el sujeto de los datos a tratar. Al utilizar los servicios de Chekin, y en consecuencia aceptar su política de privacidad, usted acepta que el propietario del alojamiento, responsable de sus datos personales, almacene y procese los datos personales que usted nos proporciona con el fin de utilizar la plataforma. En todo caso, se informa al huésped que los siguientes tratamientos se realizan en base a la información facilitada”. En consecuencia, en caso de confirmarse durante la instrucción que concurrió la infracción que se imputa mediante el presente acuerdo, la presunta responsable a la que cabrá exigir responsabilidad administrativa por los presuntos incumplimientos cometidos, es la propietaria de los apartamentos, y responsable del tratamiento de los datos personales proporcionados por sus huéspedes durante el proceso de check in online, D. A.A.A., de acuerdo con lo previsto en el artículo 70. 1
  2. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  3. a)Los responsables de los tratamientos.
  4. b)Los encargados de los tratamientos.
  5. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
  6. d)Las entidades de certificación.
  7. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. IV Obligación incumplida. Tratamiento de datos excesivos El tratamiento de los datos personales de las personas que reservan alojamiento en los establecimientos hosteleros (denominados “huéspedes”) debe estar presidido por los principios que relaciona el artículo 5 del RGPD. Cabe destacar, por su relación con el supuesto presente, los denominados “Principio de licitud y transparencia” y “Principio de minimización de datos” previstos en el apartado primero del mismo, letras
  8. a)y c), respectivamente, que disponen: “Artículo 5 Principios relativos al tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 1.Los datos personales serán:
  9. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia» .
  10. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. Además, el artículo 5.2 del RGPD indica que: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Procede en este supuesto examinar, si la parte dispone de base de licitud para tratar los datos personales contenidos en la copia o imagen del documento de identidad de los huéspedes que se registran en la vivienda vacacional que alquila como particular por temporada en diversas plataformas (la cual tiene el carácter de establecimiento hostelero), o si por el contrario, exigir dicha copia o imagen del documento supone un tratamiento de datos excesivo, e innecesario. El artículo 6 del RGPD, relativo a la “Licitud del tratamiento”, determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  11. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  12. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  13. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  14. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  15. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  16. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  17. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente supuesto, la reclamación se interpone contra la responsable a título particular de una vivienda vacacional o turística que alquila por temporadas a través de diversas plataformas, entre ellas, Airbnb, con el nombre de BUENAVISTA HOME, por haber previsto un sistema de reserva on line en el que se requiere aportar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 obligatoriamente una copia del DNI de las huéspedes para poder hacer efectiva la reserva de sus huéspedes. Tal y como sucedió en el caso de la reclamante y las otras 4 huéspedes que dicen haberse alojado en dicho apartamento entre los días 10 y 12 de mayo de 2024, y haber tenido que aportar como requisito necesario la copia de su DNI para adjuntarla a la aplicación mediante la que se hacía el “self check in”. La reclamante aporta evidencias de que el requerimiento de dichas copias o imágenes del DNI por las dos caras se realizó: (
  18. i)inicialmente remitiendo un link por email a las huéspedes para que éstas incluyeran una imagen del DNI al realizar el “self check in online”, link que les remitía a la aplicación de checkin contratada por la propietaria del apartamento (
  19. ii)y posteriormente, se ha acreditado también que tal copia le fue requerida a través de mensajería de WhatsApp el día 9 de mayo de 2024 a una de las huéspedes que no había adjuntado la imagen de su DNI, por una persona que decía actuar en nombre de los apartamentos, que se identificó como G.G.G., manifestando que ésta era un requisito para poder finalizar el proceso de check in online y acceder al alojamiento. La reclamada confirma en su escrito de 10 de julio de 2024 que, efectivamente, se requirió dicha copia o imagen del DNI a las huéspedes del apartamento al que se refiere este expediente, como habitualmente se realiza con todos los huéspedes y que ésta es una condición del alojamiento, cuyo check in es online, dado que no dispone de recepción presencial. Manifiesta, a su vez, que ha contratado la gestión de comunicaciones con los inquilinos con la entidad “Checkin Soluciones Digital, S.L”, con la que ha contactado y le han indicado los motivos por los que entienden que la solicitud de copia del DNI es legal y necesaria. La cuestión controvertida principal de este procedimiento consiste en determinar si los titulares de las actividades de hospedaje están habilitados para requerir la entrega copia o imagen del DNI. Al respecto de esta cuestión, la parte reclamada manifiesta lo siguiente en su escrito de contestación al traslado de 10 de julio de 2024: - Manifiesta que “En este caso tengo las gestiones de comunicación de inquilinos contratada mediante la aplicación de "Chekin Soluciones Digitales S.L.". Recibida esta comunicación por parte de la AEPD me puse en contacto con ellos que me comunican que: en contacto con ellos que me comunican que: “Nuestra agencia de protección de datos nos ha confirmado que en este caso es legal solicitar las fotos y nos ha dado dos argumentos que podría usar para esta reclamación: (…) 1. Argumentar la necesidad de solicitar el DNI para cotejar la Identidad de los huéspedes en base a la prevención del fraude. 2. Indicar en la contestación a la Agencia que los DNI no se conservan más allá de los estrictos cotejos para conocer la identidad real de los mismos. Es decir, que son borrados después de que se haya comprobado la identidad del huésped. También nos han Indicado los dos motivos por los que la solicitud de esas imágenes es legítima: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 3. Al realizar un check In online la solitud del DNI de los huéspedes es necesaria en tanto en cuanto debe comprobar la identidad de las personas que van a alojarse en un establecimiento turístico. Es decir, al igual que una persona se hospeda en un hotel y le solicitan el DNI para comprobar la identidad. En este caso, también se necesitaría para la prevención del fraude. 4. Otra cuestión muy distinta es la conservación de las fotografías de los DNls de los huéspedes. En este sentido, no es posible almacenar los DNI de los huéspedes una vez se obtienen los datos de los usuarios para su comunicación a las Fuerzas y Cuerpos de Segundad del Estado. Espero haberte ayudado”. - Tras trascribir literalmente la presunta respuesta recibida de la empresa contratada (cuya copia no se adjunta), la reclamada interpreta lo que la empresa encargada del tratamiento quiere decir, y realiza las siguientes consideraciones en base a la misma: “Entiendo que siendo todo el rato una comunicación a distancia solicitan, como dicen, la fotografía del DNI para poder cerciorarse de que la información que suministran es para prevención del fraude, comprometiéndose a no guardarla o almacenarla más allá del tiempo estrictamente necesario para comprobar dichas identidades. Considero, por tanto, que la solicitud de datos ha sido correcta al ser una forma adecuada, pertinente y limitada para conocer la veracidad de los datos aportados por B.B.B., procediéndose a borrar la copia del DNI una vez contrastada. Tiene sentido que la Agencia persiga la recopilación del DNI en los supuestos en los que exista una recepción presencial en la que puedan constatarse la veracidad de los datos en persona, siendo ejemplo típico de esto los hoteles, pero en el caso de mi apartamento turístico esto no es así, por lo que es necesario este control para dar cumplimiento a la orden de comunicar la información sobre huéspedes a las Fuerzas y Cuerpos de Seguridad.” Vistas las manifestaciones realizadas y la documentación presentada por ambas partes, procede analizar si la reclamada, como titular de una vivienda sobre la que se desarrolla una actividad de hospedaje, dispone en este supuesto de una base de licitud del artículo 6.1.
  20. c)del RGPD, que le habilite para tratar los personales del “huésped” en cumplimiento de una obligación legal exigible al responsable del tratamiento, en los términos alegados por la misma. La normativa que regula los libros-registros y partes de entrada de huéspedes en establecimientos de hostelería, así como la obligación de comunicar la información contenida en las hojas-registro a las Fuerzas y Cuerpos de Seguridad del Estado, está constituida, básicamente, por la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana (en adelante, LO 4/2015), y el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD 933/2021). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 Primero que nada, cabe señalar que la actividad de alquiler realizada a título particular por la reclamada está incluida en el ámbito de aplicación de esta normativa, que va dirigida a las personas físicas o jurídicas que realicen actividades de hospedaje. A estos efectos, el artículo 2 del RD 933/2021 establece lo siguiente: “Artículo 2. Definiciones. A los efectos de lo establecido en este real decreto, se consideran: 1. Actividades de hospedaje: las llevadas a cabo, de modo profesional o no, con la finalidad de proporcionar, a cambio de un precio, contraprestación o compensación, habitación o espacio para la pernoctación a las personas, con o sin otros servicios de carácter complementario. En todo caso, quedan incluidas en esta definición las siguientes actividades:
  21. a)Las llevadas a cabo por establecimientos comerciales abiertos al público integrados en este sector conforme a la normativa dictada por la administración competente. Se incluyen dentro de este concepto los hoteles, hostales, pensiones, casas de huéspedes, establecimientos de turismo rural o análogos.
  22. b)Las realizadas por campings y zonas de estacionamiento de autocaravanas, cualquiera que sea su titularidad o régimen de uso, apartamentos, bungalows y otros alojamientos similares de carácter turístico.
  23. c)Las de los operadores turísticos que presten servicios de intermediación entre las empresas dedicadas a la hospedería y los consumidores.
  24. d)La actividad de las plataformas digitales dedicadas, a título oneroso o gratuito, a la intermediación en estas actividades a través de internet, presten o no el servicio subyacente objeto de mediación, siempre que ofrezcan servicios en España. 2. Actividades de alquiler de vehículos a motor sin conductor: (…) 3. Sujetos obligados: las personas físicas o jurídicas que desarrollen o intermedien en la realización de las actividades descritas.” El artículo 24 de la LO 4/2015 dispone en su apartado primero lo siguiente: “Las personas físicas o jurídicas que ejerzan actividades relevantes para la seguridad ciudadana, como las de hospedaje (…) quedarán sujetas a las obligaciones de registro documental e información en los términos que establezcan las disposiciones aplicables”. Estas quedan fijadas actualmente por el mencionado RD 933/2021, al que hace referencia la reclamada, siendo el Anexo I. a), en su apartado 3 el que fija los datos de los huéspedes cuya recogida es obligatorio incorporar a la llamada “Hoja-registro” que la entidad responsable del hotel debe trasladar a las Fuerzas y Cuerpos de Seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 del Estado, cuando se trata de establecimientos hosteleros profesionales. En concreto, son legalmente necesarios los siguientes datos del viajero: “
  25. a)Nombre.
  26. b)Primer apellido.
  27. c)Segundo apellido.
  28. d)Sexo.
  29. e)Numero de documento de identidad.
  30. f)Número de soporte del documento.
  31. g)Tipo de documento (DNI, pasaporte, TIE).
  32. h)Nacionalidad.
  33. i)Fecha de nacimiento.
  34. j)Lugar de residencia habitual.– Dirección completa.– Localidad.– País.
  35. k)Teléfono fijo.
  36. l)Teléfono móvil.
  37. m)Correo electrónico.
  38. n)Número de huéspedes.
  39. o)Relación de parentesco entre los huéspedes (en el caso de que alguno sea menor de edad).” En consecuencia, de acuerdo con lo previsto en esta normativa, se deduce que no es obligatorio recoger, registrar ni comunicar a las autoridades competentes la imagen, fotocopia o imagen completa del documento de identidad de cada viajero, sino únicamente de algunos datos contenidos en el mismo como: nombre y apellidos, el número de identificación, el número de soporte, el tipo de documento (DNI; pasaporte…etc.), la nacionalidad, y la fecha de nacimiento. Y es que hay que tener en cuenta que la imagen o fotocopia del DNI del viajero (en sus dos caras), del pasaporte u otros documentos acreditativos de la identidad contiene datos personales que exceden de los exigidos en esta normativa, tales como: la imagen o cara del viajero, el número de equipo, o los nombres de los progenitores del viajero, sobre los que no concurre una obligación legal de recogida, registro, y comunicación, de acuerdo con la mencionada normativa. Todos ellos serían datos personales cuyo tratamiento no puede ampararse en la base de licitud del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 artículo 6.1.
  40. c)del RGPD, suponiendo un tratamiento excesivo que es contrario al principio de minimización de datos previsto en el artículo 5.1.
  41. c)del RGPD. En el presente supuesto, la reclamada reconoce que su proceso de reserva on line exigió a la reclamante y las otras 4 viajeras dicha copia o imagen del DNI, tal y como se exige habitualmente a otros clientes, lo que supone un reconocimiento de que está tratando datos personales que exceden de los que son necesarios para el cumplimiento de dicha obligación legal. Hay que aclarar que el artículo 4.3 del RD 933/2021, dispone que: “Los partes y hojas serán proporcionados por el establecimiento de hospedaje o de alquiler de vehículos, los cuales serán responsables de la exactitud de los datos que se hagan constar en ellos, de modo que coincidan con los documentos o sistemas que acrediten la identidad de las personas, que habrán de ser exhibidos o facilitados por los usuarios de estos servicios.” Pero la obligación de comprobar esta exactitud de los datos prevista en el artículo 4.3 del RD 933/2021, puede cumplirse sin necesidad de solicitar la entrega o escaneo de dicha copia o imagen, pues existen otras alternativas igualmente válidas que permiten realizar esta comprobación de forma fiable. Así pues, en conclusión, cabe señalar que no existe en este caso base de licitud para poder exigir al huésped que adjunte a una aplicación dicha copia/imagen del DNI, debiendo el propietario que contrata el alojamiento buscar alternativas de check in que permitan cumplir con la referida normativa sin necesidad de que se tenga que requerir y almacene la imagen del documento de identidad de sus huéspedes. En el presente supuesto, aporta la reclamante la conversación de WhatsApp mantenida entre una de las huéspedes (E.E.E.) y la que se identifica como gestora de la vivienda vacacional (G.G.G.) y le solicita adjuntar las dos caras del DNI a la aplicación, ofreciéndose a que se la mande para incorporarla por sí misma (el subrayado es nuestro): - - - “Hola buenas tardes E.E.E., soy G.G.G. y gestiono la vivienda vacacional Buenavista Home…no le hemos enviado el enlace de la cerradura y las llaves de la vivienda ya que en el aplicativo de checkin online falta un DNI que adjuntar y es justo el suyo…ha tenido algún problema para adjuntarlo o no ha podido(…) A ver, voy a mirar. Creí que había rellenado todos los campos. 20:36h Ya está completada la información del número y tipo de documento de identidad y fecha de expedición. 20:44h Y adjuntó la parte delantera y trasera del DNI? 20:45h Tengo entendido que los datos que necesita son los siguientes: número y tipo de documento de identidad, fecha de expedición, nombre y apellidos, sexo, nacionalidad, número de teléfono, fecha de entrada, y días de estancia, y el domicilio de los huéspedes. 20:45 H Siii, eso esta correcto, (…). 20:52H Padword by Shidix. Estimado huésped, Gracias por hospedarse con nosotros. Le recordamos que la entrada a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/22 - habitación se hará a partir de las 9:00 y su salida a partir de las 11:00. Puede acceder a su alojamiento de las siguientes formas que se le indican(…).21:16H. Ya le hemos enviado el enlace de EKeys (tanto para el portal como para la vivienda para que….(FIN CONVERSACIÓN APORTADA).” Pues bien, de los mensajes aportados por la reclamante, la diligencia expedida el 9 de septiembre de 2024 sobre el contenido de la aplicación contratada por la reclamada y de las manifestaciones realizadas por ambas partes, se desprenden las siguientes evidencias: - Que la reclamada, propietaria del “Apartamento Buenavista Home”, decidió contratar toda la gestión de clientes, incluido el proceso de check-in online, con la empresa “CHECK IN SOLUCIONES DIGITALES,S.L” que pone a disposición de los “anfitriones” que la contratan y los “huéspedes” que van a alojarse una aplicación denominada “checkin”. - Que de acuerdo con lo que consta en la página web de la empresa contratada, dicha aplicación tiene diversas modalidades que permiten combinar el check in online con el presencial, pero la reclamada escogió la modalidad de registro íntegro online sin recepción presencial, tal y como se deduce de los mensajes de WhatsApp aportados por la reclamante, en los que se remite un link automático que actúa de llave del apartamento cuando la huésped completa correctamente el check-in online. - Reconocen la responsable y encargada del tratamiento que la citada aplicación requiere a los huéspedes que adjunten la imagen o copia del DNI para finalizar el proceso de registro online con la finalidad de evitar el fraude y cumplir con su “obligación de verificar la identidad de los huéspedes” y comunicar a las Fuerzas y Cuerpos de Seguridad del Estado los datos exigidos por la normativa ante dicha, lo que ya supone de por si exceder los datos personales requeridos por la normativa y vulnerar el Principio del artículo 5.1.
  42. c)del RGPD. Pero en este caso, además, se aportan evidencias de que el procedimiento contratado por la reclamada para gestionar el check in online de su apartamento está configurado para que en el caso de que el huésped no aporte el documento en la aplicación, se le remita un mensaje de WhatsApp al número que éste haya proporcionado por alguien que actúa en nombre del apartamento (en este caso, G.G.G.), en el que se le solicita al huésped que adjunte por sí mismo la copia del DNI por ambas caras a la aplicación de checkin on line. Lo que incrementa la gravedad de la vulneración del Principio de minimización de datos del artículo 5.1.
  43. c)del RGPD, toda vez que implica que el procedimiento está diseñado para almacenar y utilizar dicha imagen excesiva, además de en la aplicación, en el dispositivo móvil de la persona/empresa remitente del mensaje. Así pues, en los mensajes aportados, queda constatado que: (
  44. i)la remitente del mensaje, “G.G.G.” actuaba siguiendo instrucciones de la encargada del tratamiento, CHECK IN, toda vez que se identifica como entidad gestora del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 apartamento, tiene acceso al número de teléfono de la huésped, y a la información que se ha registrado en la aplicación check in, y guía a la misma sobre cómo cumplimentarla y finalizar el proceso de registro; (
  45. ii)y queda reflejado, a su vez, que la interlocutora de CHECK IN se ofrece incluso para insertar por sí misma la imagen del DNI de la huésped si esta prefiere remitirle la imagen por mensajería de WhastApp, Hay que señalar que en el presente supuesto, no constan evidencias de que la huésped a la que se remitieron los mensajes enviase finalmente la copia de su DNI mediante WhatsApp a la gestora del apartamento, puesto que al mensaje de la gestora que indica: “Siii, eso está correcto, pero el sistema nos pide hacer una foto por delante y por detrás del DNI suyo para poder enviarlo a Hospedería de las 20:52H”, le sigue el mensaje automático remitido por “Padword by Shidix” de la remisión de las claves y link para acceder a la vivienda de las 21:16H. Más bien puede deducirse de la conversación que la huésped estaba realizando el check in online mientras se producía la conversación, y que procedió a adjuntar las dos caras de su DNI posteriormente al mensaje recibido a las 20:53 horas, recibiendo entonces el link de “EKeys” que le permitía acceder a la vivienda a las 21:16H. No obstante, el mero ofrecimiento para que la huésped remita la imagen del DNI por mensaje a la interlocutora de la empresa CHECK IN significa que el procedimiento contratado permite esta posibilidad de pedir y recibir la imagen por mensajería e insertarla en la aplicación, y por tanto, que está diseñado para permitirlo. Y no debemos olvidar que el diseño del tratamiento está considerado como una operación de tratamiento según la jurisprudencia del Tribunal de Justicia de la Unión Europea. - Por otra parte, hay que señalar que de acuerdo con la política de privacidad del huésped de Checkin aportada como Anexo I, se señala que los datos se almacenan por un periodo de 3 años. Y no hace referencia en ningún caso a su borrado automático, como señala la reclamada. “4. ¿Cuánto tiempo se almacenan? En general, almacenamos la información durante el tiempo necesario para realizar los diferentes tratamientos, y al menos, de acuerdo con la normativa turística, por un período de 3 años. Por tanto, existen evidencias de que la reclamada, que es la responsable del tratamiento de los datos personales de los huéspedes que alquilan su vivienda, decidió contratar el uso de una aplicación que exigía aportar la copia del DNI para poder finalizar su registro online; y que en caso de no aportarse a iniciativa del huésped, está configurada para que la empresa contratada la requiera mediante un mensaje al número de teléfono indicado por el huésped. Y la imagen de dicho DNI, obtenida para realizar la verificación de identidad del huésped, se conserva por un periodo de 3 años. Siendo su obligación, por aplicación del Principio de Responsabilidad Proactiva del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/22 artículo 24 del RGPD, el haberse informado y examinado todas las alternativas y aplicaciones existentes en el mercado actual que existen y permiten poder llevar a cabo el check in online sin vulnerar la normativa de protección de datos, y a su vez, cumplir con sus obligaciones legales de comunicación a las Fuerzas y Cuerpos de Seguridad. Vistas las circunstancias concurrentes, se entiende que el requerimiento de la entrega de una fotocopia o imagen del documento de identidad del viajero supone un tratamiento excesivo de datos personales para los que el establecimiento hostelero está habilitado de acuerdo con el RGPD, puesto que éstos son inadecuados, no pertinentes y no necesarios para el fin específico del tratamiento de que se trata (registro de entrada y salida de huéspedes). En consecuencia, de conformidad con las evidencias disponibles en el momento en que tiene lugar la apertura del procedimiento, y sin perjuicio de lo que resulte de la instrucción, los citados hechos podrían suponer una vulneración por la parte reclamada de lo dispuesto en el artículo 5.1.
  46. c)del RGPD, que recoge el Principio de Minimización de datos personales. V Tipificación y calificación de la infracción Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, del artículo 5.1.
  47. c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que, de confirmarse, podría suponer la comisión de la infracción tipificada en el artículo 83.5, apartado
  48. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  49. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/22 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  50. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. VI Propuesta de sanción La infracción del artículo 5.1.
  51. c)del RGPD, prevista en el artículo 83. 5º del RGPD, puede ser sancionada con multa de hasta 20 millones de euros, como máximo, al ser la responsable una persona física. Multa que deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  52. a)a
  53. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  54. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  55. b)la intencionalidad o negligencia en la infracción;
  56. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  57. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  58. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  59. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  60. g)las categorías de los datos de carácter personal afectados por la infracción;
  61. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/22
  62. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  63. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  64. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  65. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  66. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  67. a)El carácter continuado de la infracción.
  68. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  69. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  70. d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
  71. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
  72. f)La afectación a los derechos de los menores
  73. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  74. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Teniendo en cuenta los criterios de graduación citados, a la luz de los hechos enjuiciados, se considera que la sanción que podría corresponder en caso de confirmarse la concurrencia de la citada infracción sería la de multa administrativa de 1.000 € (MIL EUROS). VII Poderes correctivos De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  75. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/22 La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal caso, en la resolución que se adopte, esta Agencia podrá requerir a la entidad reclamada para que en el plazo de 2 meses desde que se notifique la resolución acredite ante este organismo lo siguiente: - Haber modificado su sistema de registro para que no se configure la aportación de una copia o imagen del documento de identidad de los huéspedes como requisito necesario para el alojamiento. Haber suprimido/borrado las imágenes/copias de los documentos de identidad que se hayan recabado hasta el momento. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. I Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a A.A.A., con NIF (…), por la presunta infracción del Artículo 5.1.
  76. c)del RGPD, tipificada en el Artículo 83.5.
  77. a)del RGPD. SEGUNDO: NOMBRAR como instructora a H.H.H. y, como secretario/a, a I.I.I., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  78. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, por la supuesta infracción del artículo 5.1.
  79. c)del RGPD, tipificada en el artículo 83.5.
  80. a)de dicha norma, multa administrativa de cuantía 1.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a A.A.A., con NIF (…), otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/22 64.2.
  81. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 800,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 800,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 600,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (800,00 euros o 600,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-050724 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/22 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 11 de noviembre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  82. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/22 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202408376, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a A.A.A. para que en el plazo de 2 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  83. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/22 1259-151024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.