1/15 Expediente N.º: EXP202405912 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SARARTE, S.L. (en adelante, SARARTE), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202405912 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 21 de marzo de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SARARTE, S.L. con NIF B70223599 (en adelante, SARARTE). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que la empresa SARARTE, facilitó sus datos personales, teléfono móvil personal incluido, a 18 personas, sin haber solicitado previamente su consentimiento. La parte reclamante afirma tener conocimiento el día 12 de marzo de 2024, cuando su teléfono móvil personal colapsa y la única llamada que alcanza a responder es de una persona que le indica que SARARTE le ha facilitado sus datos. Contactada por correo electrónico, la empresa SARARTE, reconoce haber facilitado sus datos, argumentando que entienden que es el teléfono que va a utilizar para sus tareas laborales de la empresa. En el correo electrónico remitido por la parte reclamante a SARARTE, de fecha 12 de marzo de 2024, se dice: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 “¿A quién le habéis pedido permiso para enviar mi número de teléfono personal en un correo a las 18 personas del equipo en el que no estoy ni en copia?”. En el correo de respuesta remitido por SARARTE, de la misma fecha, se dice expresamente lo siguiente: “Entendemos que es el teléfono que vas a emplear, pues otro no nos has dado para ello. Debido a que no te has comunicado con ellas desde el viernes que te envié el listado y no consigo hablar contigo para poder informarte de cómo van las actuaciones y las chicas están preocupadas porque les dije que las llamarías, nos hemos visto en la obligación…”. En un correo posterior, que responde igualmente a un nuevo correo de protesta de la parte reclamante, la empresa pide disculpas y le indica que no es la forma de proceder de la empresa, pero no habían podido contactar con ella por correo electrónico y necesitaban que se comunicara con las personas a las que han facilitado su teléfono. La reclamante adjunta como medios de prueba el intercambio de correos electrónicos con la empresa. El texto de este correo es el siguiente: “Primeramente pedirte disculpas, pues este no es el proceder de la empresa, pero te había enviado el viernes el listado de personal (tan pronto nos lo acreditaron desde el ayuntamiento) y a martes, no te habías puesto en contacto con ellas para poder cerrar ubicaciones y concretar reunión, sin tener noticias tuyas”. Asimismo, afirma la parte reclamante haber seguido recibiendo llamadas y mensajes de WhatsApp en días posteriores habiendo manifestado que no ha consentido la utilización de su teléfono personal para cuestiones laborales. Sobre este extremo no se aporta evidencia. Por último, afirma que la empresa ha creado una dirección de correo electrónico utilizando también su número de teléfono y correo electrónico personal como cuenta de recuperación sin consentimiento. Al respecto adjunta un correo de Google de 07/03/2024, en el que se le informa de que la cuenta de correo ***EMAIL.1 quiere utilizar su dirección de correo electrónico como su dirección de recuperación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a SARARTE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), habiendo accedido SARARTE al contenido de la notificación el 09/05/2024, según consta en el certificado que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 Con fecha 11/06/2024 se recibe en esta Agencia escrito de respuesta de SARARTE en el que manifiesta que fue adjudicataria de un contrato público del Ayuntamiento de Valencia, de “Servicios de información, sensibilización, prevención, atención y formación sobre las violencias sexuales en la ciudad de Valencia”, para cuya ejecución contrató a la parte reclamante, que debía encargarse de la coordinación de determinados recursos del proyecto, si bien no se aportan más datos sobre dicha relación ni sobre contrato suscrito. En relación con dichas tareas, SARARTE señala que cuando contrata a una persona le envía un documento estandarizado en relación con el tratamiento de sus datos como trabajadora, que incluye unas casillas para indicar si consiente que sus datos personales sean cedidos a terceros: - “( ) Consiento que mis datos personales figuren incorporados en el fichero que mantiene con finalidades de gestión y cesión a Organismos Públicos en cumplimiento de la normativa laboral, de Seguridad Social y Tributaria”. “( ) Consiento que mis datos personales sean cedidos por SARARTE a las entidades que prestan servicios a la misma”. De acuerdo con SARARTE, cuando la persona contratada no expresa su consentimiento, la empresa le facilita correo electrónico, teléfono o los medios que el proyecto que coordina requiera para las comunicaciones que tenga que realizar como parte de su relación laboral. Adjunta varios ejemplos de dicho formulario firmado por trabajadores de la empresa. En el presente caso, sin embargo, se habría utilizado por error su teléfono sin haber consentido expresamente la parte reclamante, al no constar cumplimentado por la misma el formulario mencionado. Indica además SARARTE que a raíz de este incidente ha revisado su política de seguridad e introduciendo una doble comprobación en relación con su consentimiento. Por otro lado, SARARTE afirma que la reclamante presentó su renuncia de la empresa el mismo día 12/03/2024, por lo que en días posteriores ya no formaba parte de la empresa y sus compañeros tenían un nuevo coordinador y no se había facilitado su teléfono a terceros, por lo que la reclamante no habría recibido más llamadas por este motivo, si bien no se aporta evidencia al respecto. Con su respuesta sí aporta, en cambio, copia de un burofax enviado por la parte reclamante a SARARTE en fecha 14 de marzo de 2024, mediante el que remite una comunicación de baja voluntaria, fechada el día anterior. En esta comunicación la parte reclamante hace referencia a un correo electrónico remitido el 12 de marzo anterior informando sobre su decisión de finalizar la relación laboral. Este correo electrónico no ha sido aportado a las actuaciones. En relación con la creación de la cuenta de correo ***EMAIL.1, SARARTE afirma que fue la reclamante quien la creó de forma unilateral, argumentando que SARARTE utiliza para este tipo de servicios un dominio propio: ***DOMINIO.1. TERCERO: Con fecha 21 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad SARARTE, S.L. es una empresa constituida en el año 2009, y con un volumen de negocios de (…) euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida del artículo 6.1 del RGPD El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales en los siguientes términos: Artículo 6. Licitud del tratamiento 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. En relación con la entrega del número de teléfono particular de la reclamante a varias personas, SARARTE asume en su escrito que la base jurídica para tratar los datos de correo electrónico y número de teléfono particular de sus trabajadores para tareas propias de su puesto de trabajo es el consentimiento manifestado por estos a través del formulario que la empresa les entrega en el proceso de contratación. Asimismo, reconoce que, contra los protocolos de la empresa, en este caso se facilitó el dato del teléfono particular sin existir consentimiento previo, por cuanto la parte reclamante no suscribió el formulario dispuesto por la citada entidad para recabar dicha manifestación de voluntad. En todo caso, el formulario de recogida de consentimientos dispuesto por SARARTE, aunque hubiese sido suscrito por la parte reclamada prestando su consentimiento para las dos opciones mostradas, no ampararía la utilización de sus datos de contacto personales para fines propios de la relación laboral, en la medida en que los consentimientos recabados mediante dicho formulario solo hacen referencia a la cesión de datos a organismos públicos, de conformidad con la normativa laboral, de Seguridad Social y tributaria, o a entidades que prestan servicio a SARARTE. Deben tenerse en cuenta los requisitos que otorgan validez al consentimiento, según la definición recogida en el artículo 4 del RGPD: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: (…) 11. “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En relación con la prestación del consentimiento, debe tenerse en cuenta lo establecido en los artículos 7 del RGPD y 6 de la LOPDGDD. Artículo 7 “Condiciones para el consentimiento” del RGPD: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Artículo 6 “Tratamiento basado en el consentimiento del afectado” de la LOPDGDD: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. El consentimiento se entiende como un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con garantías suficientes para acreditar que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. Y debe darse para todas las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos de manera específica e inequívoca, sin que pueda supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de sus datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación negocial. A este respecto, la licitud del tratamiento exige que el interesado sea informado sobre los fines a que están destinados los datos (consentimiento informado). El consentimiento ha de prestarse libremente. Se entiende que el consentimiento no es libre cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno; o cuando no se le permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato o prestación de servicio sea dependiente del consentimiento, aún cuando éste no sea necesario para dicho cumplimiento. Esto ocurre cuando el consentimiento se incluye como una parte no negociable de las condiciones generales o cuando se impone la obligación de estar de acuerdo con el uso de datos personales adicionales a los estrictamente necesarios. En el ámbito laboral este requisito cobra especial relevancia por la diferente posición que ocupan el empleador y el empleado, siendo necesario que se acredite que la no prestación del consentimiento por el trabajador no implicará ninguna consecuencia negativa para el mismo, de tal forma que quede garantizada su libre prestación. Sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un verdadero control sobre sus datos personales y el destino de los mismos, y ello haría ilegal la actividad del tratamiento. El Comité Europeo de Protección de Datos analizó estas cuestiones en su documento “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”, de 04/05/2020 De lo indicado en este documento, interesa destacar algunos aspectos relacionados con la validez del consentimiento, en concreto sobre los elementos “específico”, “informado” e “inequívoco”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 “3.2. Manifestación de voluntad específica El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma, para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar:
- i)la especificación del fin como garantía contra la desviación del uso,
- ii)la disociación en las solicitudes de consentimiento, y iii) una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones. (…) 3.3. Manifestación de voluntad informada El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los interesados antes de obtener su consentimiento es esencial para que puedan tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD. 3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado» Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al menos, la información siguiente para obtener el consentimiento válido:
- i)la identidad del responsable del tratamiento,
- ii)el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento, iii) qué (tipo
- de)datos van a recogerse y utilizarse,
- iv)la existencia del derecho a retirar el consentimiento,
- v)información sobre el uso de los datos para decisiones automatizadas de conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15
- vi)información sobre los posibles riesgos de transferencia de datos debido a la ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo 46”. En el supuesto denunciado, aun cuando la parte reclamante hubiese prestado el consentimiento que SARARTE recaba de sus trabajadores mediante el formulario habilitado para ello, ya detallado, dicho consentimiento no podría considerarse válido para el tratamiento de datos objeto de la reclamación. Esta entidad ni siquiera informa debidamente sobre este tratamiento de datos, sobre su finalidad y base jurídica o el derecho a retirar el consentimiento, en su caso, de conformidad con lo establecido en el artículo 13 del RGPD; ni ha establecido ningún mecanismo para que los interesados puedan prestar un consentimiento explícito. En este caso, de acuerdo con los indicios que obran en el expediente, se habría producido por tanto dicho tratamiento sin haber consentimiento (ni otra base jurídica que lo ampare), por lo que no sería lícito y se habría incumplido el artículo 6.1 del RGPD. Por el contrario, en relación con la utilización del correo electrónico particular de la reclamante como dirección de recuperación para la cuenta ***EMAIL.1, no queda acreditado que la creación de dicha cuenta se realizara por parte de la empresa, ni hay indicios de que así sea, en la medida en que se trata de una cuenta de Gmail, que puede ser abierta por cualquier particular, y la empresa, por su parte, tiene un dominio propio para sus cuentas de correo. III Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SARARTE, tipificada en el Artículo 83.5
- a)del RGPD, que estipula lo siguiente:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1
- a)de la LOPDGDD, que califica de muy grave la siguiente conducta: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679 IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 Propuesta de sanción Esta infracción puede ser sancionada con multa de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. El artículo 83.2 del RGPD establece las circunstancias a tener en cuenta para la imposición de dicha sanción: Artículo 83. Condiciones administrativas generales para la imposición de multas (…) 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 En este caso, cabe tener en cuenta la gravedad de la infracción (artículo 83.2
- a)del RGPD), en la medida en que la cesión del número de teléfono sin consentimiento hace perder a la reclamante el poder de disposición sobre dicho dato personal. Del mismo modo, cabe considerar la existencia de negligencia (artículo 83.2
- b)del RGPD) en la infracción, en la medida en que SARARTE ha incumplido su propio protocolo en relación con la utilización de datos personales de sus trabajadores solo cuando ésta ha sido consentida previamente. Considerando las circunstancias individuales del presente caso, la valoración inicial que alcanza la multa por la infracción del artículo 6.1 del RGPD es de SEIS MIL euros (6.000,00 euros). V Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el presente caso, dichas medidas podrían consistir en acreditar, en el plazo de tres meses, que se ha procedido a la revisión de los procedimientos de la empresa en relación con la utilización del correo electrónico y teléfono personal de los trabajadores, de modo que se garantizara que solo sean utilizados para tareas propias de la relación laboral cuando éstos hayan dado un consentimiento válido para ello, o que se ha resuelto renunciar a la realización de tratamiento de datos similares a los que han motivado las actuaciones. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SARARTE, S.L., con NIF B70223599, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: NOMBRAR como instructor a A.A.A. y, como secretaria, a B.B.B., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, por la supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)de dicha norma, multa administrativa de cuantía 6.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a SARARTE, S.L., con NIF B70223599, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.600,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.800,00 euros o 3.600,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-181024 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 11 de diciembre de 2024, SARARTE ha procedido al pago de la sanción en la cuantía de 3.600,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: SARARTE ha renunciado expresamente a cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 CUARTO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 3.600,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, SARARTE ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas y renunciando expresamente a cualquier acción o recurso en vía administrativa. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 6.000,00 euros. Tras haber procedido SARARTE, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 3.600,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 SEGUNDO: DECLARAR la terminación del procedimiento EXP202405912, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a SARARTE, S.L. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a SARARTE, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por SARARTE, S.L., no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contencioso-administrativa. En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado expresamente, la presente resolución será firme y plenamente ejecutiva a partir de su notificación. No obstante, conforme a lo previsto en el artículo 90.3.
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. 1259-180225 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es