1/15 Expediente Nº: EXP202213723 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202213723 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 29/12/2022, la Directora de la Agencia Española de Protección de Datos remite a la Subdirección General de Inspección de Datos un escrito en el que indica lo siguiente: “Se ha puesto en conocimiento de esta Agencia, por medio de la comunicación ***COMUNICACIÓN.1, una posible infracción en el tratamiento de datos personales relativa a los hechos que se describen a continuación. La comunicante, que no se identifica, denuncia la difusión de la imagen de una menor de 16 años de edad, sin su consentimiento, en diferentes páginas web de contenido para adultos, mientras mantiene una conversación con un hombre acostado en una cama, boca abajo y desnudo. Expone que se puede acceder a los vídeos usando como criterio de búsqueda: "BÚSQUEDA.1" o a través de 6 enlaces vinculados a los dominios DOMINIO.1, DOMINIO.2 y ***DOMINIO.3. Solo se visualiza la parte inferior del rostro de la menor, pero se escucha su voz. La chica se identifica con el nombre de "B.B.B." y el hombre como "A.A.A.". El hombre le dice que tiene XX años. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 La comunicante, que no dice tener algún vínculo con la menor, aporta dos vías de contacto: […] Por ello, se insta a la Subdirección General de Inspección de Datos a que inicie de oficio Actuaciones Previas de Investigación tendentes a acreditar estos hechos.” SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Mediante diligencia realizada por esta Agencia en fecha 09/03/2023, se incorporan a las actuaciones de inspección las siguientes comprobaciones: Realizadas el 03/01/2023: - DOMINIO.1. Consta un vídeo en el que aparece una chica, a la que solo se le ve la parte inferior de su rostro y se escucha su voz, hablando con un hombre desnudo. Ella dice llamarse “B.B.B.” y él, “A.A.A.” y que tiene XX años de edad. No consta la edad de la chica. - ***URL.1. En esta url consta el mismo vídeo descrito anteriormente. - ***URL.2. En esta url consta el mismo vídeo descrito anteriormente. - DOMINIO.1. Consta un vídeo distinto, pero similar al anterior, de la misma chica hablando con el mismo señor desnudo. - El registrar del dominio DOMINIO.2 y su url es ***URL.3. - El registrar del ***DOMINIO.3 es DANESCO TRADING LTD y su url es ***URL.4. - En la url DOMINIO.1 consta el responsable de la web DOMINIO.1 es WEBGROUP CZECH REPUBLIC, A.S. y su dirección postal de contacto. - Que el registrar de los dominios ***DOMINIO.3 y DOMINIO.2 es NAMECHEAP INC. - Los videos del dominio DOMINIO.1, DOMINIO.2 y ***DOMINIO.3 han sido retirados. - Capturas de pantalla de la Política de privacidad y Términos del servicio de DOMINIO.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 - Solicitud de retirada de los vídeos en cuestión publicados en ***DOMINIO.3 a través de formulario y correo electrónico. - Solicitud de retirada de los vídeos en cuestión en DOMINIO.1 a través de formulario y confirmación del envío. - Solicitud vía correo electrónico de los servicios de inspección de retirada de los vídeos en cuestión publicados en DOMINIO.2 a través de correo electrónico. Realizadas el 09/01/2023: - En la url ***URL.5 consta uno de los vídeos anteriores. - Solicitud vía correo electrónico de los servicios de inspección de retirada del vídeo publicado en la dirección ***URL.6. 2) En fecha 03/01/2023 y 09/01/2023, esta Agencia emite 4 requerimientos de retirada de los vídeos en cuestión que aparecen en las siguientes direcciones: - DOMINIO.1 - DOMINIO.1 - DOMINIO.3 - DOMINIO.3 - ***URL.7 - ***URL.8 3) En fecha 11/01/2023, esta Agencia emite requerimiento de retirada del vídeo que aparece en la dirección ***URL.9 4) Mediante diligencia realizada por esta Agencia en fecha 11/01/2023, se incorporan a las actuaciones de inspección las siguientes comprobaciones: - Contenido de la url ***URL.10 - Correo electrónico enviado por los servicios de inspección a ***EMAIL.1 solicitando la retirada del vídeo publicado en la dirección ***URL.11 5) Mediante diligencia realizada por esta Agencia en fecha 23/01/2023, se incorporan a las siguientes actuaciones de inspección: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 - Se comprueba que en la dirección ***URL.12 está publicado uno de los vídeos en cuestión. - Correo electrónico enviado por los servicios de inspección a ***EMAIL.2 solicitando la retirada del vídeo publicado en la dirección ***URL.13 6) En fecha 23/01/2023, esta Agencia emite requerimiento de retirada del vídeo publicado en la dirección ***URL.14. 7) En fecha 23/01/2023, se comprueba que los vídeos referenciados constan como resultados de búsqueda de GOOGLE al buscar por el término “BÚSQUEDA.1” y por “BÚSQUEDA.2”. 8) En fecha 24/01/2023, esta Agencia dicta acuerdo de adopción de medida provisional en el que se requiere a GOOGLE SPAIN, S.L. (GOOGLE LLC) la retirada o desindexación de las siguientes direcciones electrónicas: - ***URL.15 - ***URL.16 - ***URL.17 - ***URL.18 - ***URL.19 9) Mediante diligencia realizada por esta Agencia en fecha 24/01/2023, se comprueba que el vídeo publicado en XXXXXXXXX ha sido retirado. 10) Mediante diligencia realizada por esta Agencia en fecha 27/01/2023, se comprueba que los 5 resultados de búsqueda enumerados en la medida provisional dictada el 24/01/2023 han sido eliminados. 11) Con fecha 29/01/2023, esta Agencia recibe la respuesta elaborada por GOOGLE LLC al acuerdo de adopción de medida provisional de 24/01/2023: “[…] Google LLC ha procedido a retirar de entre los resultados facilitados por el buscador en respuesta a las consultas “BÚSQUEDA.2”, “BÚSQUEDA.1” y “BÚSQUEDA.3”, las imágenes en miniatura (thumbnails) relativas a las fotografías alojadas en origen en: […]” ***URL.20 ***URL.21 ***URL.22 ***URL.23 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 12) En fecha 31/01/2023, esta Agencia emite 2 requerimientos de retirada de los vídeos publicados en las direcciones ***URL.24 y ***URL.25. 13) Mediante diligencia realizada por esta Agencia en fecha 31/01/2023, se realizan las siguientes comprobaciones: - - Los vídeos en cuestión constan como nuevos resultados de búsqueda de GOOGLE al buscar por el término “BÚSQUEDA.1”, anteriormente no detectados. Uno de los resultados de búsqueda corresponde al dominio XXXXXX el cual mantiene una foto en miniatura del vídeo, pero, al pinchar sobre el vídeo, éste ha sido borrado. Otro de los resultados de búsqueda corresponde al dominio XXXXXX, el cual mantiene un fotograma del vídeo pero que al pinchar sobre él no se reproduce el mismo. Solicitud vía formulario y correo electrónico (***EMAIL.3 y ***EMAIL.4) de los servicios de inspección de retirada de los vídeos publicados en: o o ***URL.26 ***URL.27 14) En fecha 01/02/2023, esta Agencia dicta acuerdo de adopción de medida provisional en el que se requiere a GOOGLE SPAIN, S.L. (GOOGLE LLC) la retirada o desindexación de las siguientes direcciones electrónicas: - ***URL.28 ***URL.29 ***URL.30 ***URL.31 ***URL.32 15) En fecha 07/03/2023, esta Agencia recibe la respuesta elaborada por GOOGLE LLC al acuerdo de adopción de medida provisional de 09/02/2023: “[…] Google LLC ha procedido a retirar de entre los resultados facilitados por el buscador en respuesta a las consultas “BUSCADOR.1”, “BÚSQUEDA.1” y “BÚSQUEDA.2”, las imágenes en miniatura (thumbnails) relativas a las fotografías alojadas en origen en: - ***URL.33 ***URL.34 ***URL.35 Con todo nos gustaría dejar constancia de que las URLs señaladas más arriba, y que son objeto del presente requerimiento, son diferentes a las que fueron objeto de los dos previos requerimientos de 24 y 31 de enero de 2023, efectivamente atendidos. (…)” 16) En fecha 18/04/2023, esta Agencia requiere a XVIDEOS la retirada de los vídeos en cuestión publicados en las direcciones DOMINIO.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 17) En fecha 19/04/2023, se registra la solicitud de colaboración IMI ***IMI.1 a la autoridad de la ***PAÍS.1 para preguntar al propietario de la plataforma DOMINIO.1 por las direcciones IP desde donde se subieron los vídeos a la plataforma obteniéndose la respuesta siguiente: “[…] Video investigation information ***URL.36 ***URL.37 URL (deleted): Title: XXXXXXXXX Description: Length: Size: Upload date: XXXXXXXX Delete date: XXXXXXXX IP: Spain ***IP.1 ***URL.38 ***URL.39 URL (deleted): ***URL.40 Title: XXXXXXXX Description: Length: Size: Upload date: XXXXXXXX Delete date: XXXXXXXX IP: Spain ***IP.2 En la misma respuesta, y en relación con el perfil de usuario ***PERFIL.1 consta en los registros de log la operación de login con fecha “FECHA.1, XXXXXXXX” y la dirección IP ***IP.3 asociada. 18) En fecha 19/04/2023, esta Agencia envía requerimiento de información a DANESCO TRADING LTD por correo postal internacional. El envío consta devuelto por el servicio postal. 19) En fecha 25/05/2023, esta Agencia recibe la respuesta elaborada por European Data Protection Office (EDPO) al requerimiento de información de 19/04/2023, en el que facilita los datos de identificación y contacto del responsable del registro de los dominios DOMINIO.3 y DOMINIO.2 estando estos ubicados en ***PAÍS.2. 20) En fecha 31/07/2023, esta Agencia recibe la respuesta elaborada por AIRSIP TELECOMUNICACIONES, S.L. al requerimiento de información de 31/07/2023, en el que facilita la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 - Nombre, apellidos y dirección postal asociado a la dirección IP ***IP.4 con fecha FECHA.2. Nombre, apellidos y dirección postal asociado a la dirección IP ***IP.5 con fecha FECHA.3. Siendo ambos contactos el mismo y siendo el siguiente: NOMBRE: A.A.A. APELLIDOS: X.X.X DNI: ***NIF.1 DIRECCIÓN POSTAL: ***DIRECCIÓN.1 21) Mediante diligencia realizada por esta Agencia en fecha 28/08/2023, se comprueba que la imagen de ***URL.41 ya no consta publicada. Sin embargo, sí sigue publicada la miniatura que consta en la url ***URL.42. 22) Conclusiones: se han retirado los videos denunciados y las imágenes encontradas asociadas a los vídeos, excepto una de las miniaturas (pequeña imagen) a pesar de haber solicitado también su retirada. También, se han retirado los resultados de búsqueda de GOOGLE encontrados, pero siguen apareciendo constantemente nuevas réplicas en dichos resultados de búsqueda. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas La voz e imagen de una persona, a tenor del artículo 4.1 del RGPD, son datos personales al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 La voz es un atributo personal propio e individual de cada persona física que se define por su altura, intensidad y timbre. Dotada de rasgos distintivos únicos y singulares que la individualizan de manera directa, asociándola a un individuo concreto, es moldeada al hablar, pudiendo conocer, a través de ella la edad, el sexo, el estado de salud del individuo, su manera de ser, su cultura, su origen, su estado hormonal, emocional y psíquico. Elementos de la expresión, el idiolecto o la entonación, también son datos de carácter personal considerados conjuntamente con la voz. Por ello, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen, así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” De hecho, la Sentencia de la Audiencia Nacional de fecha 19 de marzo de 2014 (rec. 176/2012) dice que “la voz de una persona constituye dato de carácter personal, tal y como se deduce de la definición que del mismo ofrece el artículo 3.
- a)de la LOPD, como <>, cuestión ésta que no resulta controvertida.” El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La inclusión de la voz e imagen de una persona en publicaciones, que identifica o hace identificable a una persona, supone un tratamiento de datos personales y, por tanto, el responsable del tratamiento que efectúa el mismo está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. III Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán:
- a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)” El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- a)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- a)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- b)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- c)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- d)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Asimismo, el Considerando 40 del mencionado RGPD, dispone que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” El presente caso se inicia porque esta Agencia tiene conocimiento de la difusión de un vídeo en varias páginas webs de contenido para adultos, en el que aparece una chica, aparentemente menor de edad, y un hombre adulto manteniendo una conversación a través de chat a distancia. En el recuadro superior de la aplicación se puede ver parte del rostro de la chica (de nariz para abajo) y, en la pantalla inferior, a un hombre mayor acostado boca abajo y desnudo; pero, se aprecia con total nitidez la voz de ambos. Del vídeo en cuestión se pueden extraer frases como: “¿Cómo te llamas? (pregunta el hombre) B.B.B. (responde la chica). ¿Tú? (pregunta la chica) A.A.A. (responde el hombre). Pues encantada. ¿Y qué edad tienes? (pregunta la chica) XX (responde el hombre) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 (…).” Tras las actuaciones previas de investigación enumeradas en el apartado “Hechos” del presente acuerdo de inicio, el operador competente facilitó la información relativa a la IP desde la que se subieron los vídeos a la plataforma DOMINIO.1: - DOMINIO.1 - DOMINIO.1 La identidad de la persona asociada a dicha IP (**IP.1) es A.A.A., con DNI ***NIF.1 y domicilio en ***DIRECCIÓN.1. Así pues, el nombre del responsable de la IP desde la que se subieron los vídeos a la mencionada plataforma coincide con el que se identifica el hombre que aparece en el vídeo. Con respecto al resto de plataformas en las que también se publicaron los vídeos denunciados, los Servicios de Inspección de esta Agencia no han contactado con estas al no ser posible notificar los requerimientos, entre otros motivos. En consecuencia, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el tratamiento de datos personales realizado por A.A.A., con DNI ***NIF.1, en relación con la chica, aparentemente menor de edad, se ha efectuado sin causa legitimadora de las recogidas en el artículo 6.1 del RGPD. IV Tipificación y calificación de la infracción del artículo 6.1 del RGPD De confirmarse, la citada infracción del artículo 6.1 del RGPD podría suponer la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15
- a)(…)
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679; (…)” V Propuesta de sanción por la infracción del artículo 6.1 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Son circunstancias agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el nivel de los daños y perjuicios que hayan sufrido; la parte reclamada ha difundido públicamente un vídeo de contenido sexual donde aparece una chica, aparentemente menor de edad, sin censurar su voz, lo que permite su identificación o la hace identificable (artículo 83.2.
- a)RGPD). - La conducta del infractor refleja una intención clara de denigrar a la parte reclamante, puesto que hace público el vídeo en, al menos, una página web de contenido para adultos cuya difusión es inmediata (artículo 83.2.
- b)RGPD). - El tipo de datos tratados, la voz de la chica en un vídeo de contenido sexual (artículo 83.2.
- g)RGPD). El balance de las circunstancias contempladas permite fijar como valoración inicial una multa de 10.000,00€ (diez mil euros) por la infracción del artículo 6.1 del RGPD. VI Imposición de medidas De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”., en la resolución que se adopte, se podrá requerir a A.A.A., con NIF ***NIF.1, para que en el plazo que se estipule notifique a esta Agencia que ha adoptado las medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, sin perjuicio de otras que pudieran derivarse de la instrucción del procedimiento. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a A.A.A., con NIF ***NIF.1, por la presunta infracción artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. SEGUNDO: NOMBRAR como instructor/a a C.C.C. y, como secretario/a, a D.D.D., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el artículo 64.2
- b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) la sanción que pudiera corresponder sería de una MULTA ADMINISTRATIVA de 10.000€ (diez mil euros), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a A.A.A., con NIF ***NIF.1, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000€ (ocho mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000€ (ocho mil euros), y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000€ (seis mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 8.000€ (ocho mil euros), o 6.000€ (seis mil euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento sancionador tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-30102023 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 21 de diciembre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202213723, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es