← España

PS-00351-2019

1/7  Procedimiento Nº: PS/00351/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos procedió a la apertura de la tutela de derecho, TD/00127/2019, al tener conocimiento de los siguientes hechos: Con fecha 27 de julio de 2018, D. A.A.A. (en adelante, el reclamante) ejercitó los derechos de acceso y supresión ante la entidad Telefónica Móviles España, S.A.U. con NIF A78923125 (en adelante, la parte reclamada). En concreto, solicitaba protección de datos (derechos de acceso y supresión). SEGUNDO: La Directora de la Agencia Española de Protección de Datos, dictó el 4 de junio de 2019, resolución de tutela de derecho TD/00127/2019, procediéndose a estimar la reclamación formulada por D. A.A.A. e instar a la parte reclamada para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que se haga constar que ha atendido el derecho de acceso ejercido por éste o se deniegue motivadamente indicando las causas por las que no procede atender su petición. Dicho acuerdo fue notificado a la parte reclamada el 10 de junio de 2019. TERCERO: El 20 de junio de 2019, se recibió en esta Agencia escrito del reclamante en el cual manifiesta que trascurridos los plazos concedidos a la parte reclamada ésta incumplió la citada resolución. A pesar de haberse estimado la resolución respecto al derecho de acceso que no fue atendido, la parte reclamada sigue sin atenderlo. El recurrente solicitó el derecho de acceso y supresión y solo fue atendido el de supresión por tanto reclama a esta Agencia que actúe en consecuencia. CUARTO: Se dio traslado del recurso de reposición al reclamado para que aportase las alegaciones que estimase convenientes y, con fecha 1 de agosto de 2019, en dichas alegaciones manifiesta haber atendido el derecho solicitado y considera que solo se solicitó la supresión de los datos. Transcurrido en exceso el plazo otorgado para el cumplimiento de la citada Resolución, no consta en esta Agencia su cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 QUINTO: Con fecha 19 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba la remisión al reclamante de certificación con la información sobre la causa por la que no resultaba posible atender el acceso a sus datos, fundamentándolo en la solicitud y gestión de la supresión de los mismos, y que en atención a las circunstancias del caso, se proponga el archivo del procedimiento. SÉPTIMO: Con fecha 10 de enero de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, TD/00127/2019, así como los documentos aportados por el reclamado. OCTAVO: El 5 de febrero de 2020, se dictó y se notificó el día 10 del mismo mes y año a la parte reclamada la Propuesta de Resolución, por presunta infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 30.000 euros. La parte reclamada presentó alegaciones a la Propuesta de Resolución en el que, en síntesis, manifiesta los mismos hechos y argumentos expuestos en las alegaciones al acuerdo de inicio. Añade, que sólo cabe apreciar que esta parte si dio adecuado cumplimiento a la resolución de la tutela de derechos TD/00127/2019, en la medida que se respondió al reclamante denegando la solicitud. En consecuencia, la reclamada solicita que se tengan en cuenta las circunstancias que han concurrido en los hechos objeto del procedimiento, que se resuelva el archivo del procedimiento o reduzca la cuantía de la sanción establecida en la Propuesta de resolución HECHOS PROBADOS ÚNICO: La entidad Telefónica Móviles España, S.A.U., no ha remitido al reclamante certificación en la se facilitase el acceso completo a sus datos, pese a la resolución de tutela de derecho TD/00127/2019 dictada por la Directora de la Agencia Española de Protección de Datos. En consecuencia, por el incumplimiento de dicha resolución, y tal y como se le notificó a la entidad reclamada, tales hechos pueden entenderse como la comisión de la infracción tipificada en el artículo 83.5

  1. e)del RGPD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 58.2 del RGPD, que señala que “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  2. c)ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” La infracción de la que se responsabiliza a la entidad responsable de IBERDROLA, S.A., se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  3. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72.1 m), bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  4. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 III En el caso que nos ocupa, l a Directora de la Agencia Española de Protección de Datos, dictó el 4 de junio de 2019, resolución de tutela de derecho TD/00127/2019, procediéndose a estimar la reclamación formulada por D. A.A.A. e instar a la parte reclamada para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que se haga constar que ha atendido el derecho de acceso ejercido por éste o se deniegue motivadamente indicando las causas por las que no procede atender su petición. Así las cosas, está claro que la reclamada no cumplió la resolución de tutela de derecho TD/00127/2019, en la cual se instaba a la parte reclamada que atendiera dicho derecho. IV A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  5. a)a
  6. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  7. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  8. b)la intencionalidad o negligencia en la infracción;
  9. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  10. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  11. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  12. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  13. g)las categorías de los datos de carácter personal afectados por la infracción;
  14. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7
  15. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  16. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  17. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  18. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  19. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  20. a)El carácter continuado de la infracción.
  21. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  22. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  24. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  25. f)La afectación a los derechos de los menores.
  26. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  27. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” A tenor de lo dispuesto por el RGPD en su art. 83.2, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se relacionan en el artículo señalado, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. - En consecuencia, se han tenido en cuenta, como agravantes: - La entidad reclamada tiene la consideración de gran empresa. - Por otra parte, se han tomado en consideración, como atenuantes: - No ha obtenido beneficios directos (83.2
  28. k)RGPD y 76.2.
  29. c)LOPDGDD). Procede graduar la sanción a imponer a TELEFONICA MÓVILES ESPAÑA, S.A.U., y fijarla en la cuantía de 30.000 € por la infracción del artículo 58.2 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a TELEFONICA MÓVILES ESPAÑA, S.A.U. con NIF A78923125, por una infracción del artículo 58.2 del RGPD, tipificada en el artículo 83.5
  30. e)del RGPD, una multa de 30.000,00 € (treinta mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA MÓVILES ESPAÑA, S.A.U. con NIF A78923125. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  32. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.