1/21 Expediente N.º: EXP202307696 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante la parte reclamante) con fecha 26/04/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SANTANDER CONSUMER, S.A. con NIF A28122570 (en adelante la parte reclamada ó SC). Los motivos en que basa la reclamación son los siguientes: la recepción de publicidad postal a pesar de haberse atendido el derecho de oposición por parte del reclamado. Junto con el escrito de reclamación se aporta solicitud remitida a la entidad reclamada; respuesta de 07/03/23 atendiendo el derecho de oposición y, copia íntegra de la documentación publicitaria recibida, figurando impresos los datos de la persona reclamante y el código de la campaña publicitaria. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 06/06/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciónes llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 07/06/2023 como consta en el acuse de recibo que obra en el expediente. No es cierto, como se señalaba en el acuerdo de inicio que no se hubiera producido respuesta por la parte reclamada al requerimiento de información de la AEPD; el 06/07/2023 se produjo la misma como consta en acuse de recibo, contestando a las cuestiones planteadas por este organismo. TERCERO: Con fecha 26/07/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 05/10/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. QUINTO: Notificado el acuerdo de inicio el reclamado en fecha 19/10/2023 presentó escrito solicitando ampliación de plazo y copia del expediente; solicitud que fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 atendida el 20/10/2023 ampliando el plazo a otros cinco días y remitiendo la documentación existente. El 31/10/2023 el reclamado presento escrito de alegaciones formulando la siguiente alegación única: la manifiesta anulabilidad del acuerdo de inicio de procedimiento sancionador habida cuenta de los hechos acontecidos, por lo que se solicitaba la declaración de anulabilidad del acuerdo iniciado. SEXTO: Con fecha 22/11/2023, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. SEPTIMO: Con fecha 12/04/2024 fue emitida Propuesta de Resolución en el sentido de que sancionara a la parte reclamada, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, con multa de 50.000 € (cincuenta mil euros). Mediante escrito de fecha 26/04/2024, la parte reclamada solicito que procediera a la aclaración de las medidas señaladas en la Propuesta que debían implementarse, así como la suspensión del plazo concedido para la formulación de alegaciones a la Propuesta y, en caso contrario, la ampliación del plazo para alegaciones a la Propuesta. Mediante escrito de fecha 03/05/2024 el instructor del procedimiento informó de la improcedencia de la suspensión de dicho plazo, aclaración sobre las medidas a implementar en el plazo de seis meses a partir de la firmeza de la resolución que, en todo caso, se dicte. Por último, el instructor del procedimiento concedió la ampliación del plazo solicitado a efectos de alegaciones a la Propuesta de Resolución, mediante escrito de misma fecha. La parte reclamada mediante escrito de fecha 10/05/2024 ha alegado, en síntesis, lo siguiente: que la Propuesta no ha tenido en cuenta las circunstancias que que se dan en el presente caso; que se ha tratado de un error humando involuntario cometido por una empleada del proveedor; que es Konecta como encargado del tratamiento de los datos de carácter personal el causante del error; la inadecuación del encaje jurídico de la supuesta infracción cometida por la empleada del encargado; la vulneración del principio de proporcionalidad respecto de la sanción económica propuesta. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 PRIMERO. El 26/04/2023 tiene entrada en la AEPD escrito de la parte reclamante contra el reclamado en el que manifiesta que el 27/02/2023 remitió escrito al reclamado en relación con el uso de sus datos de carácter personal solicitando que fueran utilizados exclusivamente para gestionar la tarjeta de crédito Naturgy de la que es titular; el 23/04/2023 le envían publicidad relativa a la concesión de un préstamo, haciendo caso omiso a su petición y al escrito de respuesta que recibió del reclamado el 07/03/2023 en el que le expresaban hacer efectivo su derecho de oposición al uso de sus datos de carácter personal. SEGUNDO. Consta aportado el DNI del reclamante. TERCERO. Consta aportado copia del escrito de 27/02/2023 dirigido por la parte reclamante a la reclamada en relación con el uso de sus datos de carácter personal a que se hace referencia en el hecho primero. CUARTO. Consta aportado escrito de respuesta del reclamado de fecha 07/03/2023 en el que manifestaba: “(…) Acusamos recibo de su escrito donde ejercita su derecho de oposición a la utilización de sus datos para fines comerciales y de prospección comercial … De conformidad con el artículo 21 del RGPD y 18 de la LOPDGDD, relativo al ejercicio del derecho de oposición, se ha procedido a hacer efectivo su derecho, en los términos por usted manifestados en su solicitud. (…)” QUINTO. Consta aportada la publicidad recibida por el reclamante relativa a la campaña de promoción llevada a cabo por el reclamado de Préstamo Preconcedido Online, de abril 2023. SEXTO. La parte reclamada en escrito de 06/07/2023 manifestaba que ”Se verifica por la parte reclamada que el Reclamante remitió a la dirección de correo postal la solicitud del ejercicio del derecho de oposición… Como no podía ser de otra forma, la Compañía atiende la petición en forma y plazo, dando traslado al Sr. A.A.A. vía correo certificado, en fecha 07 de marzo de 2023, al respecto de la estimación de su solicitud… No obstante, el Reclamante recibió en fecha posterior a la confirmación de la atención a su solicitud, una única comunicación de correo comercial a través de correo postal. En el momento en que se tienen constancia de estos hechos, se procede, sin mayor dilación, a hacer efectivos los intereses del Reclamante, en lo relativo a su derecho de oposición, se adjunta a continuación evidencia de los sistemas de Santander Consumer una vez subsanado el 9 de junio de 2023… En este sentido, una vez notificada la reclamación que ahora se contesta, la pretensión del Sr. A.A.A. consta debidamente atendida en los sistemas de Santander Consumer. En suma, se ha subsanado la incidencia que dio lugar a la presente reclamación”. (…) La causa que motiva la presente reclamación tiene su razón de ser en el error humano que se cometió durante la tramitación de la solicitud. Pues bien, el error humano tuvo lugar cuando el empleado responsable de marcar y desmarcar, de manera manual, las casillas del consentimiento a la recepción de comunicaciones comerciales…en los sistemas de la Compañía, obvia modificar a NO las Casillas (de la 4 a la 7) de envío C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 de comunicaciones comerciales cuya base de legitimación es el interés legítimo de la Compañía... (…) Conforme se ha venido expresando a lo largo de presente escrito, ha quedado acreditado que esta parte actuó en todo momento desde el respeto escrupuloso de la normativa vigente, cumpliendo con el esquema establecido legalmente. (…)” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestión previa La parte reclamada en su escrito de 31/10/2023 ha formulado una única alegación: DE LA MANIFIESTA ANULABILIDAD DEL ACUERDO DICTADO HABIDA CUENTA LOS HECHOS ACONTECIDOS construyendo y articulando su alegato de anulabilidad basándose en que en el acuerdo de inicio que le fue notificado el 11/10/2023, según acuse de recibo que figura en el expediente, figura que “No consta respuesta de la parte reclamada a la información solicitada” y que tal afirmación no responde con veracidad a los hechos acontecidos ya que 06/07/2023 se procedió a la presentación en la sede del órgano, en tiempo y forma, el escrito trasladando la respuesta de la parte reclamada al requerimiento informativo de la Agencia de fecha 08/06/2023 ante la reclamación interpuesta por la parte reclamante. Presentación presencial que se llevó a cabo en el Registro de Agencia ante la imposibilidad de presentación vía electrónica, cuestión que fue constatado en diferentes momentos de aquella semana, lo que obligo a la presentación de manera presencial en el mismo organismo, considerando que ha existido un vicio radical en la tramitación del procedimiento lo que incide en la anulabilidad el acuerdo de inicio. Es cierto que la presentación de la documentación se realizó el 06/07/2023 y así consta en acuse de recibo, pero también lo es que por algún problema informático el citado registro no tuvo acceso a la aplicación del sistema hasta el 17/10/2023.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 Es más, el 18/10/2023 tiene entrada en la AEPD escrito de la parte reclamada solicitando ampliación del plazo a efecto de alegaciones y copia del expediente administrativo. El 20/10/2023 le fue remitido escrito del Instructor del procedimiento a través del cual se ampliaba el plazo para formular alegaciones hasta un máximo de cinco días, computándose a partir del día siguiente a aquel en el que finalizare el primer plazo de alegaciones, de conformidad con el artículo 32 de la Ley 39/2015 y se trasladaba copia del expediente, de acuerdo con el artículo 53.1
- a)de la misma ley. La citada copia incluía el índice de los documentos del EXP202307696: 26-04-2023 Reclamación del reclamante 06-06-2023 Traslado reclamación al reclamado 06-07-2023 Respuesta del reclamado 26-07-2023 Comunicación al reclamante 05-10-2023 Acuerdo de inicio al reclamado 11-10-2023 Escrito al reclamante 18-10-2023 Escrito del reclamado Es decir, el reclamado ha tenido conocimiento de que su escrito y documentación, del que se le ha dado trasladó de todos los documentos que integraban el expediente, por el que se daba respuesta al requerimiento de información al traslado de la reclamación interpuesta por el reclamante y la documentación relacionada con la incidencia reclamada, había tenido entrada el 0607-2023, por lo que la inclusión de la no respuesta al citado requerimiento en el Acuerdo de Inicio se ha tratado de un error informático que motivó la ausencia de acceso a la aplicación del sistema de la citada respuesta, que en ninguna caso puede considerarse que haya causado indefensión ni afectado al derecho de defensa del reclamado, pues a partir del traslado de la copia del expediente y la ampliación del plazo para formular alegaciones ha tenido la posibilidad de alegar lo que hubiera tenido por conveniente a la infracción de la que se le considera responsable. Ni tampoco a la anulabilidad del acto. El artículo 48 de la LPACAP, Anulabilidad, establece que: “1. Son anulables los actos de la Administración que incurran en cualquier infracción del ordenamiento jurídico, incluso la desviación de poder. 2. No obstante, el defecto de forma sólo determinará la anulabilidad cuando el acto carezca de los requisitos formales indispensables para alcanzar su fin o dé lugar a la indefensión de los interesados. 3. La realización de actuaciones administrativas fuera del tiempo establecido para ellas sólo implicará la anulabilidad del acto cuando así lo imponga la naturaleza del término o plazo”. Hay que señalar que la anulabilidad se produce cuando el acto infringe el ordenamiento jurídico, no reúne los requisitos formales indispensables para alcanzar su fin o causa indefensión de los interesados, o es realizado fuera del tiempo establecido, siendo el término o plazo indispensable para el propio acto. Sin embargo, en el presente caso no se dan ninguna de los supuestos o requisitos para que cómo predica la parte reclamada el acto pueda ser calificado como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 anulable pues ni concurre vicio o defecto que provoque o determine una irregularidad invalidante o que pueda encajarse en alguno de los supuestos de nulidad de pleno derecho. Por tanto, el reclamado no puede ampararse para eludir su responsabilidad en los hechos puestos acreditados y puestos de manifiesto en la mera inclusión en el acuerdo de inicio de la mención a que no había habido respuesta al requerimiento de información de la AEPD y que tal exclusión le produce indefensión. La parte reclamada ha tenido la oportunidad de defenderse y hacer valer sus puntos de vista en relación con los hechos de los que se le considera responsable, no habiéndole ocasionado los defectos formales denunciados indefensión material, por lo que procede desestimar los vicios invocados. La A.N. en sentencia 2071/2019 de 29/04/2019 señalaba que “Así, ha reiterada la jurisprudencia - SSTS, Sala 3ª, de 12 de Julio de 2007 (Rec. 92/2003 ), 31 de mayo de 2010 (Rec. 1945/2006 ) entre otras- que no cualquier anomalía formal o procedimental tiene efectos invalidantes, sino que es necesario que se produzca una vulneración de las garantías constitucionales previstas en el artículo 24 de la Constitución y que vaya acompañada de una real producción de indefensión, esto es, que tales defectos hayan originado al recurrente un menoscabo real de su derecho de defensa causándole un perjuicio real y efectivo ( SSTC 155/1988, de 22 de julio , 89/1997, de 5 de mayo y 78/1999, de 26 de abril ). En este sentido, señala el Tribunal Constitucional que para apreciar la existencia de lesión constitucional, no basta la existencia de un defecto procedimental, sino que es necesario que éste se haya traducido en indefensión material, esto es, en un perjuicio real y efectivo, nunca potencial y abstracto, de las posibilidades de defensa en un procedimiento con las necesarias garantías ( SSTC 15/1995, de 24 de enero y 1/2000, de 17 de enero , entre otras muchas). Sin que, como señala la STC 27/2001, de 29 de enero , exista indefensión material si, a pesar de haberse producido algún quebrantamiento procesal, las partes han podido defender sus derechos e intereses legítimos”. Asimismo, en sentencia 1634/2019 de 09/04/2019 establece que “Denuncia asimismo Meydis la existencia de indefensión vulneradora del artículo 24.2 de la Constitución, que fundamenta en las irregularidades detalladas en el Fundamento de Dº segundo. Al respecto y con carácter general, ha de traerse a colación la doctrina del Tribunal Constitucional según la cual para apreciar la existencia de lesión constitucional, no basta la existencia de un defecto procedimental, sino que es necesario que éste se haya traducido en indefensión material, esto es, en un perjuicio real y efectivo, nunca potencial y abstracto, de las posibilidades de defensa en un procedimiento con las necesarias garantías ( SSTC 15/1995, de 24 de enero y 1/2000, de 17 de enero , entre otras muchas). Sin que, como señala la STC 27/2001, de 29 de enero, exista indefensión material si, a pesar de haberse producido algún quebrantamiento procesal, las partes han podido defender sus derechos e intereses legítimos. En este sentido, ha reiterada la jurisprudencia - SSTS, Sala 3ª, de 12 de Julio de 2007 (Rec. 92/2003), 31 de mayo de 2010 (Rec. 1945/2006) entre otras- que no cualquier anomalía formal o procedimental tiene efectos invalidantes, sino que es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 necesario que se produzca una vulneración de las garantías constitucionales previstas en el artículo 24 de la Constitución y que vaya acompañada de una real producción de indefensión. Entrando ya en analizar las concretas infracciones denunciadas y en cuanto a la falta de puesta de manifiesto del expediente en fase de audiencia, hay que señalar que obra en el procedimiento (Folios 371 y 372) resolución del Instructor de 27 de marzo de 2017, poniendo de manifiesto el expediente y concediéndole un plazo de 15 días hábiles para formular alegaciones. Así mismo en la citada resolución de 27 de marzo de 2017 se detallaban los documentos obrantes en el procedimiento a fin de que pudiera obtener las copias que estimara convenientes, previa cita. Resolución que fue notificada a Meydis por la Sociedad Estatal de Correos y Telégrafos el día 28 de marzo de 2017 (Folio 373). Por tanto, no es cierto que no se hubiera puesto de manifiesto y se hubiera impedido acceder al expediente a Meydis, quien pudo comparecer ante la AEPD para tomar vista del expediente y obtener copias del mismo, o pudo haber concretado una cita, como se le advirtió en la resolución de 27 de marzo 2017, para obtener las copias que estimara convenientes, lo que tampoco hizo, por lo que ninguna indefensión material cabe apreciar. Cabe recordar también, que conforme reiterada doctrina del Tribunal Supremo de la que se hace eco, entre otras la sentencia de 11/10/2012 (Rec. 408/2010) "la nulidad de los actos administrativos sólo era apreciable en los supuestos tasados del artículo 47 LPA ( art. 62 de la Ley de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común, Ley 30/1992, de 26 de noviembre...) y la anulabilidad por defectos formales, sólo procedía cuando el acto carecía de los requisitos formales indispensables para alcanzar su fin o producía indefensión de los interesados, según el artículo 48.2 LPA ( art. 63.2 LRJ-PAC )", (...). Y, por ultimo debemos reiterar que "no se produce indefensión a estos efectos si el interesado ha podido alegar y probar en el expediente cuanto ha considerado oportuno en defensa de sus derechos y postura asumida, como también recurrir en reposición, doctrina que se basa en el artículo 24.1 CE, si hizo dentro del expediente las alegaciones que estimó oportunas" (STS 27 de febrero de 1991), "si ejercitó, en fin, todos los recursos procedentes, tanto el administrativo como el jurisdiccional" ( STS de 20 de julio de 1992). (...) En síntesis, que el vicio de forma o procedimiento no es invalidante de por sí, sino en cuanto concurran los supuestos de que el acto carezca de los requisitos indispensables para alcanzar su fin o dé lugar a la* indefensión de los interesados, conforme dispone el artículo 63 LRJPA , y de ahí que pueda purgarse a lo largo del procedimiento e incluso en vía contencioso- administrativa, trámite en el cual puede obviarse, por razones de economía procesal, enjuiciando el fondo del asunto, tanto cuando el mismo hubiese sido no influyente en la decisión ---de suerte que ésta hubiere sido la misma---, como cuando aún sí influyente, la decisión hubiese sido correcta o incorrecta, manteniéndola en su supuesto y anulándola en el otro, y sólo apreciarse en el caso de que por existencia carezca el órgano jurisdiccional de los elementos de juicio necesarios para la valoración de la decisión administrativa" Y el Tribunal Constitucional ha venido señalando que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. Por tanto, a la vista de lo que antecede la alegación vertida en la respuesta al acuerdo de inicio debe ser desestimada. III Alegaciones a la Propuesta de Resolución 1. En primer lugar, insiste la parte reclamada en alegar la existencia de indefensión vulneradora del artículo 24.2 de la Constitución, ya que si respondió al requerimiento realizado por la Agencia y que fundamenta en la ausencia detallada en los hechos recogidos en la Propuesta. La A.N. en numerosas sentencias se ha pronunciado sobre dicha cuestión estableciendo que “Al respecto y con carácter general, ha de traerse a colación la doctrina del Tribunal constitucional según la cual para apreciar la existencia de lesión constitucional, no basta la existencia de un defecto procedimental, sino que es necesario que éste se haya traducido en indefensión material, esto es, en un perjuicio real y efectivo, nunca potencial y abstracto, de las posibilidades de defensa en un procedimiento con las necesarias garantías ( SSTC 15/1995, de 24 de enero y 1/2000, de 17 de enero , entre otras muchas). Sin que, como señala la STC 27/2001, de 29 de enero, exista indefensión material si, a pesar de haberse producido algún quebrantamiento procesal, las partes han podido defender sus derechos e intereses legítimos. En este sentido, ha reiterada la jurisprudencia - SSTS, Sala 3ª, de 12 de Julio de 2007 (Rec. 92/2003), 31 de mayo de 2010 (Rec. 1945/2006) entre otras- que no cualquier anomalía formal o procedimental tiene efectos invalidantes, sino que es necesario que se produzca una vulneración de las garantías constitucionales previstas en el artículo 24 de la Constitución y que vaya acompañada de una real producción de indefensión. 2. Alega igualmente que todo ha sido debido a un error humano involuntario por una empleada del encargado que presta servicios a favor de la parte reclamada, cuando ésta encargada de marcar o desmarcar de manera manual las casillas del consentimiento omitido marcar No a efectos de envío publicidad comercial, teniendo difícil encaje jurídico la supuesta infracción cometida. Hay que señalar que estando acreditado la conducta típica, la ilicitud del tratamiento de los datos de la parte reclamante, de conformidad con lo establecido en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 el artículo 6.1 del RGPD estando acreditado haber ejercitado su derecho de oposición a que sus datos fueran utilizados con fines comerciales, la cuestión se centra en determinar si de tal conducta puede nacer responsabilidad administrativa sancionadora. La reclamada solicita que se acuerde el archivo dado que no tiene encaje jurídico la supuesta infracción cometida. La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” De conformidad con este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]” La decisión de archivar un expediente sancionador podrá fundarse en la ausencia del elemento de la culpabilidad cuando el responsable de la conducta antijurídica hubiera obrado con toda la diligencia que le resulta exigible. Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario." Cabría señalar cual fue la diligencia observada por la parte reclamada en relación con la conducta que debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le imponía el artículo 6.1 del RGPD y que motivo la apertura del procedimiento. Por tanto, de conformidad con el principio de proactividad la parte reclamada no adoptó una actitud diligente constatándose una clara ausencia de diligencia, pues, después de haber garantizado que había realizado lo oportuno y necesario para que repitiera el envío de correos publicitarios y de esta forma evitar incidencias como las que dio lugar a la reclamación y la apertura del procedimiento, el afectado volvió a recibir nuevo correo publicitario haciendo referencia a promociones de la reclamada, infringiendo la normativa de protección de datos, articulo 6.1 RGPD, conducta y comportamiento existente en el presente caso, evidenciando ausencia de diligencia. 3. Alega la parte reclamada que es Konecta, como encargado del tratamiento de los datos de carácter personal, el causante del error producido. El artículo 4 del RGPD, Definiciones, recoge en sus apartados 7 y 8 las relativas al responsable y encargado del tratamiento estableciendo que: 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Es decir, de dichas definiciones se deduce que el encargado se limita a tratar la información por cuenta del responsable, mientras que éste, y no el encargado, será el que tome las decisiones sobre el tratamiento de datos de carácter personal, con excepción de aquellas otras que se tomen por cuestiones técnicas y organizativas que podrían ser delegadas. De esta forma, de una valoración de la documentación aportada al expediente, no cabe sino colegir que quien ha determina los fines y medios del tratamiento es la parte reclamada por lo que la infracción apreciada, vulneración del principio de licitud en el tratamiento de los datos: artículo 6.1 del RGPD y tipificada en el artículo 83.5.
- a)del mismo RGPD se atribuye al responsable del tratamiento, la parte reclamada. Por otra parte, la existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar por si mismo determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. La esencia de la función del encargado el tratamiento es que los datos personales sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica, es el responsable el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene la función de prestar servicios a los responsables del tratamiento. En otras palabras, “actuando en nombre y por cuenta del responsable del tratamiento” significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por éste, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado. El responsable del tratamiento es quien tiene la obligación de garantizar la aplicación de la normativa de protección de datos y la protección de los derechos de los interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del RGPD). El control del cumplimiento de la legalidad se extiende durante todo el tratamiento, desde el principio hasta el final. El responsable del tratamiento debe actuar, en cualquier caso, de forma diligente, consciente, comprometida y activa. Ese mandato del legislador es independiente de que el tratamiento lo realice directamente el responsable del tratamiento o de que lo efectúe valiéndose de un encargado del tratamiento. Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por cuenta del responsable del tratamiento pertenece a la esfera de actuación de éste último, de igual forma que si lo realizara directamente él mismo. El C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 encargado de tratamiento, en el supuesto examinado, es una extensión del responsable del tratamiento. Al establecer la responsabilidad del encargado del tratamiento en la comisión de infracciones al RGPD, su artículo 28.10 también atiende al criterio de la determinación de los fines y medios del tratamiento. De acuerdo con este artículo, si el encargado determina los fines y medios del tratamiento será considerado responsable del mismo: “10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. Por tanto, Konecta podría considerarse responsable del tratamiento si hubiera actuado, "(...) al margen o en contra de las instrucciones legales del responsable (...)". Por el contrario, de las manifestaciones realizadas por la parte reclamada ha quedado acreditado que Konecta, encargado del tratamiento, remitió la publicidad postal a la parte reclamante vulnerando su propia decisión de haber atendido el derecho de oposición ejercitado por el reclamante en relación con la utilización de sus datos para fines comerciales y de prospección comercial, publicidad en la que se hacía referencia a ofertas de la parte reclamada, con frases publicitarias como: Préstamo Preconcedido Online. En todo caso, Konecta envío la publicidad de acuerdo con las directrices de la parte reclamada y promocionando los servicios de ésta. Por tanto, queda acreditado que, el responsable último de los hechos acaecidos es la parte reclamada. 4. Para finalizar, alega el reclamado la vulneración del principio de proporcionalidad en la imposición de la sanción. Hay que señalar que el artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasoria”. Las multas por tanto según se deduce del precepto que antecede han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso la presente resolución no vulnera el principio de proporcionalidad en la determinación de las sanciones impuestas, resultando ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen aún más la minoración efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del artículo 6.1 del RGDP, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Pues bien, la parte reclamada se trata de una gran empresa dentro de su sector de actividad; en el año 2022 tuvo un resultado de ejercicio de 1.601 millones de euros y un beneficio neto de 1.321 millones. IV Obligación incumplida: infracción del artículo 6.1 del RGPD Los hechos denunciados se materializan en la recepción de publicidad postal después de ser atendido el derecho de oposición por el reclamado, lo que podría vulnerar la normativa en materia de protección de datos de carácter personal. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” El artículo 5 del RGPD, Principios relativos al tratamiento, establece que: “1. Los datos personales serán:
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); (…)” Por otra parte, el artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Asimismo el Considerando 40 del mencionado RGPD, dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El tratamiento de datos de carácter personal requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular. en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Consta acreditado que la parte reclamante en fecha 27/02/2023 remitió escrito a la parte reclamada ejercitando su derecho de oposición a que sus datos fueran utilizados con fines comerciales. Consta asimismo el escrito de fecha 07/03/2023 remitido a la parte reclamante dando respuesta a su solicitud en el que se le trasladaba que se procedía a tomar nota C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 y hacer efectivo su derecho en los términos indicados: “Acusamos recibo de su escrito donde ejercita su derecho de oposición a la utilización de sus datos para fines comerciales y de prospección comercial … De conformidad con el artículo 21 del RGPD y 18 de la LOPDGDD, relativo al ejercicio del derecho de oposición, se ha procedido a hacer efectivo su derecho, en los términos por usted manifestados en su solicitud”. Sin embargo, en abril de 2023, es decir con posterioridad a la comunicación anterior en la que la parte reclamada le anunciaba que atendía su derecho de oposición a no utilizar de sus datos de carácter personal para fines comerciales y de prospección comercial, le fue remitida al reclamante publicidad relativa a campaña publicitaria relacionada con la concesión de Préstamo Preconcedido Online, haciendo caso omiso a lo señalado en la respuesta ofrecida al ejercicio de su derecho. Por lo tanto, no es aceptable como manifiesta la parte reclamada que “una vez notificada la reclamación que ahora se contesta, la pretensión del Sr. A.A.A. consta debidamente atendida en los sistemas de Santander Consumer. En suma, se ha subsanado la incidencia que dio lugar a la presente reclamación”. Y a continuación señalar que “ha quedado acreditado que esta parte actuó en todo momento desde el respeto escrupuloso de la normativa vigente, cumpliendo con el esquema establecido legalmente”. Todo lo contrario, la negligencia en la infracción es manifiesta, al constatar una clara falta de diligencia debida de la parte reclamada en la gestión del derecho de oposición de la parte reclamante, pues, después de haber asegurado que había realizado las gestiones oportunas para que no se le volviera a enviar nuevos correos publicitarios, la parte reclamante volvió a recibir nuevo correo publicitario haciendo referencia a promociones de la reclamada. . Por tanto, se considera que la conducta del reclamado vulnera el principio de licitud consagrado en el artículo 6.1 del RGPD, tipificada en el artículo 83.5
- a)del RGPD. V Tipificación de la infracción del artículo 6.1 del RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
- a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” VI Sanción por incumplimiento del artículo 6.1 del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD de la que se responsabiliza a la parte reclamada, se estiman concurrentes las siguientes circunstancias: La naturaleza, gravedad y duración de la infracción: los hechos puestos de manifiesto afectan gravemente a una cuestión primordial en materia de protección de datos como es el principio de licitud, que la norma sanciona con la mayor gravedad; ejercitado el derecho de oposición por el reclamante y habiendo sido atendido por el reclamado, éste trato nuevamente su datos de carácter personal y sin legitimación alguna para su utilización para fines comerciales y de prospección comercial, le remitió publicidad comercial a lo que se había opuesto precisamente el reclamante en el ejercicio de su derecho de oposición (artículo 83.2.
- a)del RGPD). La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
- b)de la LOPDGDD en relación con el artículo 83.2.k). La intencionalidad o negligencia en la infracción; pues el reclamado ha actuado con grave falta de diligencia en su actuación, como es el de envío de publicidad comercial al reclamante incumpliendo la respuesta que le había ofrecido al ejercicio de su derecho de oposición. Conectado con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
- b)del RGPD). El volumen de negocio del reclamado pues se trata de una empresa líder en financiación al consumo no solo dentro del mercado español por su objeto de negocio (artículo 83.2,
- k)del RGPD). VII Adopción de medidas Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
- a)a j). Al haberse confirmado la infracción, procede acordar imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por tanto, se consideraría procedente ordenar que el reclamado en el plazo de seis meses a partir de la firmeza de la resolución que, en todo caso, se dicte para que adecúe los tratamientos objeto del presente procedimiento a la normativa aplicable. En el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. En concreto, deberán adoptarse medidas adecuadas para asegurar que los derechos de oposición ejercitados por los interesados y estimados por la entidad reclamada sean tenidos en cuenta al realizar cualquier tipo de campaña promocional Se advierte que no atender la orden impuesta por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SANTANDER CONSUMER FINANCE, S.A., con NIF A28122570, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una multa de 50.000 € (cincuenta mil euros). SEGUNDO: ORDENAR a SANTANDER CONSUMER FINANCE, S.A., con NIF A28122570, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a adecuar los tratamientos objeto del presente procedimiento a la normativa aplicable, concretamente atender escrupulosamente el ejercicio de los derechos por los interesados cumpliendo con lo exigido por la normativa en materia de protección de datos legitimando el tratamiento de conformidad con el artículo 6.1 del RGPD. TERCERO: NOTIFICAR la presente resolución a SANTANDER CONSUMER FINANCE, S.A. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es