← España

PS-00409-2022

1/14  Expediente N.º: EXP202203952 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 04/03/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra ANYLA SERVICIOS INTEGRALES, S.L. con NIF B87952644 (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). Los motivos en que basa la reclamación son los siguientes: “El día 28/02/2022 a las 08.30 recibo un correo publicitario de Anyla Servicios remitido desde la dirección de correo electrónico ***EMAIL.1 y con asunto Mantenimiento asegurado para su vivienda de uso turístico (Mensaje_1) cuando no he tenido ningún tipo de relación o contacto con esta empresa ni les he dado mi consentimiento para la remisión de comunicaciones comerciales o publicitarias. Además, no es un correo electrónico puntual, si no que he sido incluido en una base de datos ya que se incluye un enlace de baja. Al recibir la comunicación, contacté con el remitente para consultarle de dónde había obtenido mis datos y sin darme dicha respuesta, me indicó datos obtenido del listado de Viviendas de Uso Turístico que publica el Gobierno de XXXXXX en su página web (Mensaje_2 y adjunto_1).” Adjunta la siguiente documentación: - Copia del listado de Viviendas de Uso Turístico publicado, a fecha 08/04/2021, por el Gobierno de XXXXXX donde aparecen como datos personales: nombre de la vivienda, dirección/localidad, C.P., teléfono y email. - Copia de los tres correos electrónicos recibidos por el reclamante el 28/02/2022 a distintas horas desde la dirección de correo electrónico: ***EMAIL.1, con contenido comercial (bajo el “Asunto”, Mantenimiento asegurado para su vivienda de uso turístico). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 08/04/2022 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, resultando aceptado el 08/04/2022, como consta en el certificado que obra en el expediente. A día de hoy, no se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 04/06/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 29/07/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo, LSSI), tipificada en el artículo 38.4.

  1. d)de la LSSI. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “[…] Sin embargo, no podemos pasar por alto el contenido expreso en la materia que realiza la a Ley Orgánica de Protección de Datos (en adelante, LOPD), y su Reglamento de desarrollo (en adelante, RLOPD), en cuanto a la permisividad de la utilización de datos de contacto de clientes, o en este caso potenciales clientes, pues refleja de forma expresa el consentimiento a su utilización cuando estos datos se encuentren en una fuente accesible al público. Esta fuente de fácil acceso no es otra que el listado de Viviendas de Uso Turístico publicado por el propio Gobierno de XXXXXX en su página web. Entendemos, por tanto, que este hecho conlleva el decaimiento directo de cualquier tipo de sanción a GRUPO ANYLA SERVICIOS INTEGRALES S.L. Segunda.- En ningún caso se trata de SPAM. […] El SPAM es coloquialmente conocido como “correo basura” que, además, es enviado de “forma masiva”. La comunicación remitida al Sr. A.A.A. no resulta ser ni correo basura ni es enviado de forma masiva. La prueba de que la comunicación enviada en fecha 28 de febrero de 2022 al Sr. A.A.A. no obedece a ninguna de las dos calificaciones anteriores es que la información que le fue facilitada l podía resultar de alto nivel de interés (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Además de lo anterior, basta atender a la fuente información (pública y accesible) en la que se obtuvo el contacto del Sr. A.A.A. para comprobar que en absoluto se trata de una comunicación enviada “en masa”, pues el perfil del receptor está perfectamente seleccionado y delimitado. (…). Tercera.- Posibilidad de darse de baja. Comprobamos como n la comunicación de fecha 28 de febrero de 2022 se le ofrece la posibilidad al Sr. A.A.A. de darse de baja para evitar que le llegue cualquier aviso comercial. (…). Cuarta.- Acción publicitaria contratada. GRUPO ANYLA SERVICIOS INTEGRALES, S.L., contrató los servicios de una mercantil dedicada a la publicidad, quien diseñó, planificó y directamente ejecutó la estrategia comercial (…). Por este motivo, entiende que quien debe responder ante cualquier tipo de responsabilidad por una mala praxis es la empresa subcontratada para este tipo de acción publicitaria. (…). Se trata de la mercantil ATMOSFERA EVENTOS S.C., con domicilio en (…). Quinta.- Moderación de la sanción. […]” SEXTO: Con fecha 30/11/2022, el órgano instructor del procedimiento acordó la apertura de un período de pruebas, teniéndose por incorporados la reclamación interpuesta por la parte reclamante y su documentación, así como las alegaciones al acuerdo de inicio PS/00409/2022 presentadas por la parte reclamada y la documentación que a ellas acompaña. Asimismo, se requirió a la parte reclamada para que presentara la siguiente información: - Copia del contrato o documento equivalente firmado por la parte reclamada y ATMOSFERA EVENTOS S.C., en el que quede constancia de la existencia de una relación entre ambas partes a fin de prestar un servicio de publicidad y cuál es su alcance. - Prueba de que ATMOSFERA EVENTOS S.C. reconoce haber efectuado la acción publicitaria en cuestión. Con fecha 05/01/2023, la parte reclamada presentó escrito de respuesta ante esta Agencia, cuyo contenido es idéntico a las alegaciones formuladas contra el acuerdo de inicio. A mayores, adjunta la siguiente documentación: - Documento de “PROSPECCIÓN COMERCIAL ANYLA SERVICIOS 15/01/2022” donde se detalla el diseño de la estrategia y campaña comercial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 - Copia de 3 facturas emitidas por ATMOSFERA EVENTOS S.C. a GRUPO ANYLA SERVICIOS INTEGRALES, S.L., con la descripción “Prospección Comercial Anyla Servicios”, por importe de 605€, respectivamente. Las fechas corresponden al 01/02/2022, 01/03/2022 y 01/05/2022. SÉPTIMO: Con fecha 22/03/2023, se formuló propuesta de resolución en la que se proponía sancionar con dos multas administrativas de 1.000€, cada una de ellas, a la parte reclamada, por las infracciones de los artículos 21.1 de la LSSI y 6.1 del RGPD. OCTAVO: La propuesta de resolución fue notificada a la entidad reclamada el 23/03/2023 conforme a las normas establecidas en la LPACAP. Transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 28/02/2022, a las 8:30 horas, la parte reclamante recibe una comunicación electrónica comercial desde la dirección ***EMAIL.1 y con el asunto “Mantenimiento asegurado para su vivienda de uso turístico”. SEGUNDO: El 28/02/2022 la parte reclamante envía un correo electrónico (***EMAIL.2) a la dirección ***EMAIL.1 para preguntar sobre el origen de sus datos, recibiendo contestación en la que se le indica que su correo electrónico se ha obtenido de un listado de Viviendas de Uso Turístico publicado por el Gobierno de XXXXXX en su página web. A continuación, la parte reclamante solicita la supresión de sus datos, siendo atendida en esa misma fecha. TERCERO: A raíz del requerimiento de prueba de 30/11/2022 efectuado por el órgano instructor, la contestación de la parte reclamada es idéntica a las alegaciones formuladas al acuerdo de inicio, cuyo contenido es el señalado en el punto quinto, del apartado “Antecedentes”. No obstante, aporta nueva documentación que prueba los siguientes extremos: - El diseño por parte de ATMOSFERA EVENTOS, S.C. de una estrategia y campaña comercial para la entidad reclamada. De su contenido cabe destacar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid  “Se elaborará una base de datos completa, con el contacto y en la que se irá actualizando la actividad con esa empresa”.  “Mantener al día la base de datos de Concursos Públicos en los que podamos ofrecer nuestros servicios”.  “Crearemos un correo específico para estas campañas: ***EMAIL.1 (o algo similar). Generar una campaña de Mail_Marketing individual para cada uno de los posibles clientes que estén en la base de datos. El mail tendrá acceso directo a una landing que será para que soliciten de www.aepd.es sedeagpd.gob.es 5/14 manera rápida la prueba de vuestros servicios. También podrán contestar directamente al propio correo electrónico. Habrá que establecer un correo de contacto de vuestro personal para reenviar el contacto de todos aquellos que contesten que quieren la prueba o bien la soliciten a través de la web”. -  “Se informará cada 15 días de los resultados de la campaña, clientes contactados, correos respondidos…Esa base de datos será propiedad de Anyla Servicios”.  “Para que se pueda ver resultado, mínimo tendría que haber un compromiso de 3 meses para poder valorar los resultados obtenidos. Los primeros 3 meses tendrían un coste de 500 euros/mes. A partir del 4º mes valoraremos los resultados obtenidos y ajustaremos la propuesta económica”. El pago a ATMOSFERA EVENTOS, S.C., por la parte reclamada, en fecha 01/02, 01/03 y 01/05/2022; de 605€, respectivamente, por los servicios de “Prospección Comercial”. CUARTO: Esta Agencia ha notificado a la entidad reclamada la propuesta de resolución del presente procedimiento sancionador, pero esta no ha presentado alegaciones ni pruebas que contradigan los hechos denunciados. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo establecido en el artículo 43.1 de la LSSI y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Alegaciones aducidas Esta Agencia no tiene constancia de que la parte reclamada haya presentado escrito de alegaciones contra la propuesta de resolución. No obstante, como ya se indicó en la propuesta de resolución, respecto a las alegaciones presentadas por la parte reclamada contra el acuerdo de apertura del presente procedimiento sancionador, se realizaron las siguientes consideraciones. 1. DATOS OBTENIDOS EN FICHERO PÚBLICO. Alega la parte reclamada que la normativa vigente en materia de protección de datos de carácter personal permite utilizar datos de contacto de clientes o potenciales clientes cuando se encuentran en una fuente accesible al público, en este caso, el listado de Viviendas de Uso Turístico publicado por el Gobierno de XXXXXX en su página web. Al respecto, esta Agencia desea señalar que, de conformidad con el artículo 21.1 de la LSSI, la entidad reclamada solo estaría autorizada a enviarle comunicaciones comerciales a la parte reclamante si expresamente hubiera otorgado su consentimiento para la recepción de las mismas, o solicitado. Además, tampoco nos encontramos ante un caso subsumible en la excepción contemplada en el apartado 2 del citado precepto, ya que no existe una relación contractual previa entre ambas partes. No solo debe tratarse de un consentimiento previo, específico e inequívoco, sino que, también, deberá ser informado. Esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Además, esta información debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. Por todo lo expuesto, se desestima la presente alegación. 2. EN NINGÚN CASO SE TRATA DE SPAM. POSIBILIDAD DE DARSE DE BAJA. Alega la entidad reclamada que el correo enviado a la parte reclamante no tiene la consideración de spam, ya que no se trata de “correo basura” enviado de “forma masiva”, pudiendo serle útil la información facilitada. Afirma que, al no enviarse desde una dirección “non reply” (no contestar), la parte reclamante pudo comunicarse con el emisor y darse de baja. Al respecto, esta Agencia desea recordar a la parte reclamada que, como ya se indicó en el acuerdo de inicio del presente procedimiento sancionador, por “spam” entendemos cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Así, el criterio a tener en cuenta a la hora de calificar un mensaje como “spam”, no es si se realiza de forma masiva, sino que se tiene en cuenta la existencia o no de consentimiento o de solicitud previa del destinatario. En este sentido, resulta evidente que la parte reclamante en ningún momento autorizó la recepción de este tipo de mensajes, siendo la entidad reclamada la que reconoce que el dato personal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 de correo electrónico de la parte reclamante se obtuvo de un listado publicado en la página web del Gobierno de XXXXXX. Por todo lo expuesto, se desestima la presente alegación. 3. ACCIÓN PUBLICITARIA CONTRATADA. Alega la entidad reclamada que contrató los servicios publicitarios de ATMOSFERA EVENTOS S.C., siendo esta mercantil quien “diseñó, planificó y directamente ejecutó la estrategia comercial que ha supuesto una propuesta de sanción”. Por ello, entiende que “quien debe responder ante cualquier tipo de responsabilidad por una mala praxis es la empresa subcontratada para este tipo de acción publicitaria”. Examinada la documentación que obra en el expediente administrativo, resulta evidente que ATMOSFERA EVENTOS, S.C. se dedica a comercializar los servicios de la entidad reclamada mediante acciones de marketing directo, entre ellas, el envío de comunicaciones comerciales electrónicas para la captación de clientes en favor de la reclamada. Así, la base de datos que elabore la mercantil pasa a ser propiedad de la entidad reclamada Si bien es cierto que la entidad reclamada no diseña las instrucciones a seguir por ATMOSFERA EVENTOS, S.C., desde el momento en que realiza tres pagos a favor de la mercantil, se entiende que está de acuerdo con la estrategia presentada. Así, la actuación de ATMOSFERA EVENTOS S.C. se ciñe a lo estipulado y, por cuenta de la entidad reclamada, se encarga de tratar los datos personales que fueran necesarios para la correcta prestación del servicio. Prueba de ello es el correo electrónico recibido por la parte reclamante donde, a lo largo de todo el contenido, se advierte que los únicos servicios ofrecidos son los de la entidad reclamada. Es más, el correo comienza diciendo “Hola! Soy (…)”. Por todo lo expuesto, se desestima la presente alegación. 4. MODERACIÓN DE LA SANCIÓN. Alega la entidad reclamada que la sanción propuesta, por importe de 1.500€, debe ser “moderada a las circunstancias concretas y no asimilarlas a la mala praxis que en la mayoría de ocasiones realizan las grandes compañías”. Al respecto, esta Agencia valora positivamente que se atendiera la solicitud de baja efectuada por la parte reclamante a través de correo electrónico el 28/02/2022, y que resultó atendida ese mismo día. No obstante, es necesario recordar que esa actuación de la entidad reclamada atiende al cumplimiento de la normativa y, por consiguiente, está obligado a ello. Por todo lo expuesto, se estima parcialmente la presente alegación. III Artículo 21 de la LSSI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 El artículo 21 “Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes” de la LSSI establece: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” Como ha quedado establecido en el apartado anterior, el correo electrónico recibido por la parte reclamante tiene la consideración de comunicación electrónica comercial desde el momento en que se le ofrecen los servicios de mantenimiento para viviendas turísticas de la entidad reclamada; sin que la parte reclamante los solicitara previamente. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 21 de la LSSI. IV Tipificación y sanción de la infracción del artículo 21 de la LSSI La citada infracción del artículo 21 de la LSSI supone la comisión de la infracción tipificada como leve en el artículo 38.4.
  2. d)de la LSSI, que califica como tal “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
  3. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000€, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, que dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 “La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
  4. a)La existencia de intencionalidad.
  5. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
  6. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
  7. d)La naturaleza y cuantía de los perjuicios causados.
  8. e)Los beneficios obtenidos por la infracción.
  9. f)Volumen de facturación a que afecte la infracción cometida.
  10. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” Con arreglo a los criterios establecidos en dicha Ley, se estima adecuado imponer una multa administrativa de 1.000€, por la infracción del artículo 21 de la LSSI. V Artículo 6.1 del RGPD El artículo 6 “Licitud del tratamiento”, apartado 1, señala lo siguiente: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  11. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  12. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  13. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  14. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  15. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14
  16. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  17. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En este sentido, el artículo 4.1 del RGPD define “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”. Así pues, consta la realización de un tratamiento de datos personales, toda vez que la entidad reclamada realiza la recogida y conservación de los datos personales (teléfono o correo electrónico, entre otros) de la parte reclamante. En el presente caso, la entidad reclamada reconoce que los datos personales de la parte reclamante se han obtenido de una fuente de acceso público, en concreto, del listado de Viviendas de Uso Turístico publicado por el Gobierno de XXXXXX en su página web. A este respecto debe señalarse que el concepto de “fuentes de acceso público” no figura en el vigente RGPD, el cual tampoco incluye entre las bases de legitimación la consistente en que los datos procedan de fuentes de acceso público, con lo que se aplica en todo caso la necesidad de acreditar una base legitimadora conforme establece el artículo 6.1. del RGPD, lo que no se ha hecho en este caso. Como consecuencia de ello, la entidad reclamada ha vulnerado el artículo 6 del RGPD, de conformidad con lo señalado anteriormente por entender que nos encontramos ante un tratamiento ilegítimo de datos. VI Tipificación y sanción de la infracción del artículo 6.1 del RGPD De confirmarse, la citada infracción del artículo 6 del RGPD podría suponer la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  19. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679; (…)” Los poderes correctivos de los que dispone la Agencia Española de Protección de datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
  20. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. En el presente caso, atendiendo a los hechos expuestos, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  21. a)a
  22. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  23. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  24. b)la intencionalidad o negligencia en la infracción;
  25. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  26. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14
  27. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  28. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  29. g)las categorías de los datos de carácter personal afectados por la infracción;
  30. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  31. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  32. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  33. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  34. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  35. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  36. a)El carácter continuado de la infracción.
  37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  39. d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
  40. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
  41. f)La afectación a los derechos de los menores
  42. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14
  43. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. El balance de las circunstancias contempladas permite fijar una multa administrativa de 1.000€ (mil euros) por la infracción del artículo 6.1 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GRUPO ANYLA SERVICIOS INTEGRALES, S.L., con NIF B87952644, por una infracción del artículo 21.1 de la LSSI, tipificada en el artículo 38.4.
  44. d)de la LSSI, una multa de 1.000€ (mil euros). SEGUNDO: IMPONER a GRUPO ANYLA SERVICIOS INTEGRALES, S.L., con NIF B87952644, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  45. a)del RGPD, una multa de 1.000€ (mil euros). TERCERO: NOTIFICAR la presente resolución a GRUPO ANYLA SERVICIOS INTEGRALES, S.L.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  46. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  47. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.