← España

PS-00439-2021

1/21  Expediente N.º: PS/00439/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: A.A.A., con NIF ***NIF.1 (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD) en fecha 13/07/2020. La reclamación se dirige contra INMARÁN ASESORES, S.L., con NIF B85508232 (en adelante, la parte reclamada o INMARÁN). La reclamación formulada versa sobre la grabación que INMARÁN, supuestamente, hizo de las conversaciones telefónicas que la parte reclamante mantuvo con ella, lo que aconteció, según explica esa parte, sin que la reclamada le hubiera informado de la grabación y sin que ella hubiera otorgado su consentimiento a ese tratamiento. La parte reclamante ha manifestado, a propósito de las conversaciones mantenidas con la parte reclamada, que “no se informa de que están siendo grabadas en ningún momento, por lo que no tienen mi consentimiento para grabar la conversación.” Explica que se puso en contacto con la parte reclamada para “una consulta sobre ayudas de alquiler a menores de 35 años en la declaración de la renta 2019.” y que, “Tras unos problemas con la contratación de sus servicios (...) (se está tramitando una reclamación ante consumo), se intercambian una serie de correos en los que nos amenazan con que, si no se realiza un pago por los "servicios" prestados en un plazo de 48 horas, nos interpondrían una demanda judicial aportando como prueba conversaciones telefónicas grabadas.” (El subrayado es nuestro) Anexa a su reclamación estos documentos: - El fragmento de un correo electrónico que le envió D.ª B.B.B.., empleada de INMARÁN, en el que no consta la fecha de envío sino únicamente la indicación “Miércoles”. El texto del correo electrónico es el siguiente: “Reclamación de impago Renta 2019 de D. ª [la reclamante] y D. C.C.C.”. “Buenos días. 1.Ustedes facilitaron por email sus datos personales para la realización de sus declaraciones de la renta, facilitando documentación por e-mail, entre los cuales el contrato de alquiler para la aplicación de la deducción C Madrid. Realizando varias consultas telefónicas que están grabadas por e-mail, donde queda constancia de la contratación de los servicios. 2. En la renta de D. ª [la reclamante]”. (El subrayado es nuestro) -La copia de un formulario - “Hoja de reclamación de la Comunidad de Madrid”- que está cumplimentado, aunque la información que en él se recoge no es legible. Lleva C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 estampado el sello de INMARÁN. No se aprecia que sobre el documento se haya estampado un sello que acredite que la hoja de reclamación hubiera sido presentada en un registro público. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de la reclamación a INMARÁN para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a la normativa de protección de datos. La notificación a la parte reclamada se efectuó electrónicamente, de conformidad con la Ley 39/2015, de 1 de octubre, de procedimiento administrativo común de las Administraciones Públicas (en adelante, LPACAP), siendo la fecha de puesta a disposición el 12/08/2020 y el 23/08/2020 la fecha de rechazo automático. La AEPD, con carácter excepcional, reiteró la notificación por correo postal, que fue recibido por INMARÁN el 17/09/202, recordándole que, conforme a la LPACAP, estaba obligada a relacionarse electrónicamente con las Administraciones Públicas. La reclamada respondió a la solicitud de información en escrito recibido el 28/10/2020 en el que relata, ordenados cronológicamente, los siguientes hechos que guardan relación con la reclamación: Que en el mes de abril de 2020 D. C.C.C. (en lo sucesivo, D. C.C.C.) le solicitó por vía email “información sobre el precio de la realización y presentación del impuestos sobre la renta 2019 tanto para él como para D.ª [la reclamante]” Que el 17/04/2020 le respondió por la misma vía pidiéndole que remitiera un número de teléfono para informarle telefónicamente, ya que el precio variaba dependiendo del tipo de la declaración y de la situación personal. Que el 01/06/2020 les solicitó copia del DNI y de la declaración del IRPF correspondiente al ejercicio 2018. Afirma que “Entre el 1 y el 4 de junio [la reclamante] nos facilitó copia del DNI de ambos, copia de la declaración de la renta de 2018 y copia del contrato de alquiler para realizar su declaración y su posterior presentación”. Que en los días posteriores elaboró la declaración del impuesto y comunicó a la reclamante que no podía desgravarse por el alquiler de la vivienda y añade que “Se le solicitó por vía mail en repetidas ocasiones que por favor nos facilitara el número de cuenta para poder presentarla ya que le salía a devolver.” La reclamada concluye su exposición diciendo que “Por todo lo anteriormente expuesto, queda demostrado que [la reclamante] solicitó los servicios de la [reclamada] para la realización y posterior presentación de la declaración del impuesto de la renta de las personas físicas 2019” y que aquélla aprovechó los servicios prestados por la asesoría para presentar ella misma dicha declaración de Hacienda puesto que, una vez comprobados todos los datos, le salía el mismo resultado que le indicaba el borrador, dejando con ello de pagar los servicios prestados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 INMARÁN ha aportado once correos electrónicos intercambiados con la reclamante, de los cuales cinco los remitió ella. En todos figura al pie del mensaje la siguiente leyenda: “De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de carácter Personal Inmarán Asesores, S.L., domiciliado en calle Santiago Ramón y Cajal, 63 -28939- Arroyomolinos (Madrid), le informa que los datos que nos ha proporcionado formarán parte de un fichero de datos de carácter personal, responsabilidad de dicha entidad, con la finalidad de gestionar las comunicaciones que pudiera mantener con el personal de la misma. En el supuesto de que desee ejercitar los derechos que le asisten de acceso, rectificación, cancelación y oposición dirija una comunicación por escrito a Grupo Inmarán a la dirección indicada (...) incluyendo copia de su Documento Nacional de Identidad (...)”. Entre los mensajes que INMARÁN intercambió con la reclamante, cuyas copias ha aportado, destaca el que envió el 01/07/2020 desde administracion@inmaran.com a su empleada, doña B.B.B.., quien se encargó de reenviarlo a la reclamante, con el asunto “Reclamación de impago rentas 2019 de D. ª [la reclamante] y D. C.C.C.”. Se trata del mismo mensaje que la parte reclamante anexó a su reclamación ante esta Agencia, pero del que aportó solo un fragmento. Es en este mensaje en el que la reclamada hace referencia a la grabación de las conversaciones que mantuvo con la reclamante, circunstancia que daría pie a que ésta última formulara la reclamación que ha dado origen a este procedimiento. El texto es el siguiente: “Buenos días: 1. Ustedes facilitaron por email sus datos personales para la realización de sus declaraciones de la renta facilitando documentación por email, entre los cuales el contrato de alquiler para la aplicación deducción C Madrid. Realizando varias consultas telefónicas que están grabadas e email donde queda constancia la contratación de los servicios. 2.En la renta de Dª [la reclamante] queda constancia a petición por parte de INMARAN ASESORES, de su número de cuenta para la realización de la devolución de la renta que no lo ha querido enviar, aprovechándose de la realización de la declaración por INMARAN (...) [...] en caso de impago, procederemos a la reclamación judicial de las cantidades no pagadas” (El subrayado es nuestro). Es digno de mención, también, el mensaje de respuesta enviado por la parte reclamante a INMARÁN, en la misma fecha, desde la dirección ***EMAIL.1, en el que afirma que su declaración del impuesto de la renta se presentó por INMARÁN sin su autorización, por lo que no pensaba efectuar el pago de un servicio que, dice, se prestó sin su consentimiento. Los restantes correos electrónicos que INMARÁN ha facilitado a la AEPD preceden en el tiempo a los dos anteriormente citados y son los siguientes: 1.-De fecha 17/04/2020, a las 12:30 horas, enviado desde el Departamento de Administración de la reclamada -administracion@inmaran.com- por la empleada B.B.B.., dirigido a ***EMAIL.2 relativo al asunto “Declaración Renta”. La reclamada le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 informa que ha recibido su comunicación y le solicita un número de teléfono para informarle telefónicamente. 2.-De fecha 01/06/2020, enviado desde administracion@inmaran.com, dirigido a ***EMAIL.2, con el asunto “Rentas 2019”. Le comunica que para poder informarle sobre la realización de la declaración de la renta necesitamos que nos suministre por email fotocopia del DNI y de la declaración de la renta de 2018 y una vez recibida se pondrán en contacto para informarle del precio y de los documentos necesarios para realizarla. 3.-De fecha 01/06/2020 a las 18:06, enviado por la reclamante desde ***EMAIL.1 dirigido a administracion@inmaran.com, con el asunto “Renta 2019 C.C.C. (...)”. En el mensaje se menciona la incorporación de dos documentos anexos. 4.-De fecha 01/06/2020 enviado por la reclamante -***EMAIL.1- a administracion@inmaran.com, con el asunto “Renta 2019 C.C.C. (...)”. Se menciona la incorporación de siete documentos anexos. 5.- De fecha 01/06/2020 enviado por la reclamante - ***EMAIL.1- dirigido a administracion@inmaran.com, con el asunto “Papeles renta 2019 C.C.C. (...)”. El correo menciona la incorporación de nueve imágenes anexas. 6.De fecha 02/06/2020 enviado por la reclamante dirigido a administracion@inmaran.com, con el asunto “Renta C.C.C. (...)”. Se menciona la incorporación como anexos de dos imágenes. 7De fecha 04/06/2020 enviado por la reclamante dirigido a administracion@inmaran.com, con el asunto “Contrato alquiler C.C.C. (...)”. Se mencionan cinco documentos anexos. 8.- De fecha 29/06/2020 a las 11:57 enviado desde administracion@inmaran.com a ***EMAIL.1 con el asunto “Renta”. Se comunica a la reclamante que necesitan que les facilite su número de cuenta para poder presentar su declaración del IRPF 2019 a fin de poder solicitar la devolución por transferencia. El mismo mensaje se reitera en otro correo de la misma fecha enviado unas horas más tarde (a las 14:20 horas) 9.- Enviado el 30/06/2020 desde administracion@inmaran.com dirigido a ***EMAIL.1 con el asunto “Renta”. La reclamada informa a la reclamante que se ha presentado la declaración del IRPF 2019 de C.C.C.; de cuál es el importe pendiente de abono por sus servicios y le facilita los datos bancarios para que proceda al pago. Además, reitera el mensaje enviado el 29/06/2020; advierte que es el último día de presentación de la declaración y declina toda responsabilidad derivada de no haberla presentado como consecuencia de haber omitido la reclamante la documentación precisa. TERCERO: Con fecha 11/11/2020, la Directora de la Agencia Española de Protección de Datos acuerda admitir a trámite la reclamación. El acuerdo de admisión a trámite se notifica en la misma fecha a la parte reclamante por medios electrónicos. CUARTO: La Subdirección General de Inspección de Datos, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 Se transcribe seguidamente el fragmento del Informe de actuaciones de investigación relativo al resultado de las actuaciones practicadas: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 19 de enero de 2021 se ha requerido por correo electrónico en las direcciones laboral@inmaran.com y administración@inmaran.com información relativa a: 1.Procedimiento establecido para facilitar información de manera previa a la grabación de las llamadas 2.Copia de toda documentación que permita acreditar que la reclamante fue informada de la grabación de sus llamadas (se adjuntaba impresión de pantalla de un correo en que se informa a la reclamante que disponen de llamadas grabadas) También en esa misma fecha se ha requerido por el Servicio de Notificaciones Electrónicas la misma información. Según consta INMARAN ASESORES SL B85508232 ha aceptado el correo en fecha 19/01/2021 a las 17:00:27 por medio de su representante ***NIF.2, D.D.D. A día de hoy no se ha recibido contestación a ninguno de los requerimientos.>> QUINTO: Con fecha 21 de septiembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5.

  1. b)del RGPD. SEXTO: El acuerdo de apertura se notificó electrónicamente a INMARÁN conforme a lo previsto en la LPACAP. La notificación se reiteró por correo postal que resultó entregado el 25/10/2021, como lo acredita la prueba de entrega que obra en el expediente. INMARÁN no formuló alegaciones al acuerdo de inicio del procedimiento. SÉPTIMO: Con fecha 22/03/2022 la instructora del procedimiento acordó la apertura de una fase de prueba y la práctica de las siguientes diligencias: 1.Dar por reproducida la reclamación formulada por la reclamante y su documentación anexa; los documentos generados y obtenidos por la Subdirección de Inspección de Datos con ocasión de la solicitud informativa, previa a la admisión a trámite de la reclamación, en el trámite de actuaciones de investigación previa y el informe de actuaciones previas de investigación. 2.Solicitar a la reclamada: 2.1. Que facilite a la AEPD una copia de las grabaciones de las conversaciones y consultas que mantuvo con la reclamante, habida cuenta de que en su correo electrónico de fecha 01/07/2020, enviado desde laboral@inmaran.com, decía haber realizado “[...] varias consultas telefónicas que están grabadas en email donde queda constancia la contratación de los servicios.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 2.2. La copia del DNI que la reclamante le hubiera facilitado con ocasión de la relación mantenida con ella, así como copia de cualquier otro documento relativo a la persona de la reclamante (por ejemplo, copia de un contrato del que la reclamante fuera parte; de sus declaraciones de IRPF de años anteriores etc.) La notificación se efectuó por medios electrónicos conforme a lo prevenido en la LPACAP. La notificación se reiteró por correo postal, que fue entregado el 18/04/2021 como lo acredita la prueba de entrega que obra en el expediente. INMARÁN no respondió a las diligencias de prueba solicitadas. OCTAVO: En fecha 12/05/2022 la instructora del procedimiento firmó la propuesta de resolución que se formuló en estos términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a INMARAN ASESORES, S.L., con NIF B85508232, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  2. b)del RGPD, con una multa por importe de 2.000€ (dos mil euros) Que por la Directora de la Agencia Española de Protección de Datos, de acuerdo con el artículo 58.2.
  3. d)del RGPD, se ordene a INMARAN ASESORES, S.L., con NIF B85508232, por una infracción del artículo 13 del RGPD tipificada en el artículo 83.5.
  4. b)del RGPD, que, en el plazo de un mes desde que fuera ejecutiva la resolución que se dicte, adopte las medidas oportunas para cumplir las obligaciones que le impone el artículo 13 del RGPD.>> Se acompañó a la propuesta, como anexo, una relación de los documentos obrantes en el procedimiento. La propuesta de resolución se notificó a la parte reclamada electrónicamente, siendo la fecha de puesta a disposición el 13/05/2022 y la fecha de rechazo automático el 24/05/2022, como lo acredita el certificado de la FNMT que obra en el expediente. Conforme al artículo 82.2. de la LPACAP, se otorgó un plazo de diez días hábiles para evacuar el trámite de alegaciones, por lo que el plazo finalizó el 07/06/2022. A fecha 08/06/2022 no se tiene noticia de que la reclamada hubiera presentado en la AEPD alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación que obra en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1.) La reclamante ha manifestado en su reclamación que se puso en contacto con la parte reclamada, INMARÁN, para “una consulta sobre ayuda de alquiler a menores de 35 años en la declaración de la renta 2019”, en tanto que la parte reclamada ha declarado que en abril de 2020 don C.C.C. le solicitó por vía email “información sobre el precio de la realización y presentación del impuesto sobre la renta 2019 tanto para él como para” la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 La parte reclamante [es erróneo, debería decir la parte reclamada] ha afirmado también que en fecha 17/04/2020 respondió a don C.C.C. por la misma vía pidiéndole que le facilitara un número de teléfono para informarle telefónicamente, pues el precio variaba dependiendo del tipo de la declaración y de la situación personal; que el 01/06/2020 les solicitó copia de su DNI y de la declaración del IRPF correspondiente al ejercicio 2018 y que entre el 1 y el 4 de junio de 2020 la reclamante les facilitó la copia del DNI de don C.C.C. y suya, de la declaración de la renta de 2018 y del contrato de alquiler. 2.) Obran en el expediente, aportados por INMARÁN y reproducidos en el Antecedente segundo de este escrito, diversos correos electrónicos intercambiados entre ella de una parte y de otra la reclamante. Los correos que la reclamante envió a la reclamada -a su dirección administracion@inmaran.com - evidencian que esta última tuvo acceso a numerosos documentos con datos personales que concernían a don C.C.C. y a la propia reclamante, como lo prueba el hecho de que INMARÁN pudiera llegar a elaborar la declaración de IRPF 2019 de la reclamante: -El enviado el 01/06/2020 a las 18:06 a administracion@inmaran.com desde la dirección electrónica de la reclamante -***EMAIL.1- con el asunto “Renta 2019 C.C.C. (...)”, que menciona la incorporación de dos documentos anexos. (Hace el número 3 de los relacionados en el Antecedente segundo) -El enviado el 01/06/2020 a administracion@inmaran.com desde la dirección electrónica de la reclamante -***EMAIL.1- con el asunto “Renta 2019 C.C.C. (...)”, en el que se menciona la incorporación de siete documentos anexos. (Hace el número 4 de los relacionados en el Antecedente segundo) -El enviado el 01/06/2020 a administracion@inmaran.com desde la dirección de la reclamante -***EMAIL.1- con el asunto “Papeles renta 2019 C.C.C. (...)”, en el que se menciona la incorporación de nueve imágenes anexas. (Hace el número 5 de los relacionados en el Antecedente segundo) -El enviado el 02/06/2020 a administracion@inmaran.com desde la dirección de la reclamante -***EMAIL.1- con el asunto “Renta C.C.C. 2019 (...)”, que menciona la incorporación como anexos de dos imágenes. (Hace el número 6 de los relacionados en el Antecedente segundo) -El enviado el 04/06/2020 enviado a administracion@inmaran.com desde la dirección de la reclamante - ***EMAIL.1- con el asunto “Contrato alquiler C.C.C. (...)”, que menciona la incorporación como anexos de cinco documentos. (Hace el número 7 de los relacionados en el Antecedente segundo) 3.) Al pie de los correos electrónicos que INMARÁN dirigió a la reclamante –a la dirección ***EMAIL.1-, correos de fecha 29/06/2020 a las 11:57 H. y a las 14:20 H., en los que le comunicó que necesitaba su número de cuenta bancaria para la presentación de la declaración del IRPF 2019 a fin de solicitar la devolución; de fecha 30/06/2020, en el que reiteró la petición anterior; en el de 01/07/2020, en el que solicitó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 el pago de sus servicios, así como en los que dirigió a don C.C.C. – a la dirección ***EMAIL.2-, de fecha 17/04/2020, en el que acusó recibo de su correo y le solicitó un número de teléfono para informarle, y de fecha 01/06/2020, en el que le solicitó que remitiera por email fotocopia del DNI y de la declaración de la renta de 2018, en todos, aparecía incluida esta leyenda: “De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de carácter Personal Inmarán Asesores, S.L., domiciliado en calle Santiago Ramón y Cajal, 63 -28939- Arroyomolinos (Madrid), le informa que los datos que nos ha proporcionado formarán parte de un fichero de datos de carácter personal, responsabilidad de dicha entidad, con la finalidad de gestionar las comunicaciones que pudiera mantener con el personal de la misma. En el supuesto de que desee ejercitar los derechos que le asisten de acceso, rectificación, cancelación y oposición dirija una comunicación por escrito a Grupo Inmarán a la dirección indicada (...) incluyendo copia de su Documento Nacional de Identidad (...)”. 4.) INMARÁN no ha aportado ningún documento que acredite que hubiera proporcionado a la reclamante, en su condición de interesada, la información que es preceptiva conforme al RGPD. FUNDAMENTOS DE DERECHO I Competencia de la AEPD De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Conducta sobre la que versó la reclamación y objeto de este procedimiento La conducta contraria a la normativa de protección de datos que la reclamante denunció versó, exclusivamente, sobre la grabación que, supuestamente, habría realizado INMARÁN de las conversaciones que ambas mantuvieron; grabación para la cual la parte reclamada no le habría informado ni habría recabado su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 El artículo 4 del RGPD, “Definiciones”, establece que “A efectos del presente Reglamento se entenderá por: 1)<<datos personales>>: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” De acuerdo con la definición de dato personal transcrita, la voz de una persona, por sí sola, es un dato de carácter personal, por lo que al efectuar una grabación se recoge, y por tanto se trata, un dato de esa naturaleza. Nos remitimos, por todas, a la sentencia del Tribunal Supremo (STS), Sala de lo Contencioso-Administrativo, de 22/06/2020 (RCA. 4958/2019) que rechazó la casación de la sentencia de la Audiencia Nacional (SAN), Sala de lo Contencioso-Administrativo, de 04/04/2019, que había desestimado el recurso contencioso-administrativo (Rec. 423/2017) interpuesto contra una resolución sancionadora de la Directora de la AEPD. Dice la sentencia (FJ primero): “En lo que respecta a resolver la cuestión casacional planteada, referida a en qué condiciones o con qué alcance la voz de una persona debe considerarse de carácter personal, esta Sala estima ajustado a Derecho el razonamiento del Tribunal de instancia, que sostiene, con base en la jurisprudencia del Tribunal de Justicia de la Unión Europea, que la voz, en cuanto constituye un registro sonoro de una persona que proporciona información concerniente a la misma, se incardina en la definición de "datos de carácter personal" que refiere el artículo 2.3
  5. a)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.” (El subrayado es nuestro) Referencia al artículo 2.3.
  6. a)de la derogada LOPD que, en la actualidad, debemos entender que se hace al artículo 4.1. del RGPD. Así pues, la grabación de la voz de un tercero conlleva un tratamiento de datos de carácter personal y tal conducta está sometida al RGPD. Sentado lo anterior, se debe recordar que la única prueba que la reclamante aportó sobre la grabación de sus conversaciones telefónicas con la reclamada, en torno a la que versó su reclamación, fue el correo electrónico que había recibido de INMARÁN el 01/07/2020, con el asunto “Reclamación de impago rentas 2019 de D. ª [la reclamante] y D. C.C.C.”, en el que la parte reclamada le comenta que las consultas telefónicas que ella y D. C.C.C. realizaron “están grabadas e email donde queda constancia de la contratación de los servicios”. En los numerosos correos electrónicos intercambiados entre la reclamante y la reclamada no hay ninguna otra mención a la grabación de las conversaciones mantenidas. Tampoco obra en el expediente ningún otro indicio del que pueda inferirse que la grabación que la reclamante denunció llegó a existir. La frase que INMARÁN incluyó en el mensaje electrónico enviado el 01/07/2020 es la única referencia a la hipotética grabación de las conversaciones y, a propósito de esa cita, no se debe ignorar el contexto en el que la reclamada afirmó haber grabado las conversaciones ni C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 la finalidad que perseguía con el mensaje en el que la incluyó. El texto del mensaje precitado evidencia que la parte reclamante ponía en tela de juicio que hubiera existido entre ambas un contrato de prestación de servicios para la confección de su declaración del impuesto de la renta de las personas físicas y que, a través del citado correo, la reclamada le requirió el pago de sus servicios con la advertencia de acudir a la vía judicial para obtener el abono de los importes pendientes. En definitiva, la afirmación hecha por la reclamada en el correo electrónico enviado el 01/07/2020, por sí sola, resultaba claramente insuficiente para dar por cierta esa conducta al tiempo de acordar la apertura del expediente sancionador. Esta Agencia ordenó entonces la práctica de actuaciones de investigación previa con la finalidad de obtener algún indicio que confirmara los hechos expuestos por la parte reclamante. Sin embargo, no se obtuvo ningún resultado, de modo que, en el momento de la apertura del procedimiento, se carecía absolutamente de toda prueba de que la grabación que la parte reclamante denuncia hubiera llegado a efectuarse ni se habían logrado recabar tampoco indicios razonables de que aquélla hubiera llegado a existir. Por tal motivo, el acuerdo de apertura circunscribió su objeto a la conducta de INMARÁN contraria al RGPD sobre la que existían evidencias razonables -la infracción del deber de información- sin tomar en consideración como objeto del procedimiento la pretendida grabación de las conversaciones. En la fase de prueba se requirió a la reclamada para que aportara la grabación o grabaciones que hubiera realizado de las conversaciones que mantuvo con la reclamante. La parte reclamada no respondió a las diligencias de prueba solicitadas. Por consiguiente, se confirmó lo que ya se había apreciado en el trámite de apertura de acuerdo de inicio: la ausencia de prueba en la que poder sustentar que la conducta denunciada -la grabación de las conversaciones- efectivamente llegó a producirse. Como se ha indicado, el único elemento de juicio sobre la grabación denunciada era una declaración que la reclamada hizo en un contexto en el que perseguía un propósito particular: el requerimiento de pago a la reclamante de sus servicios, para lo cual le advertía de su intención de acudir a la vía judicial para el cobro de los importes que estimaba adeudados y afirmaba contar, como prueba, de una grabación de sus conversaciones telefónicas. En atención al resultado negativo de las pruebas practicadas ante la parte reclamada en este procedimiento, en la propuesta de resolución se subrayó que no cabía ampliar el objeto del procedimiento, posible en ese trámite, de forma tal que el objeto del procedimiento continuaba circunscrito a la conducta contraria al RGPD que se describió en el acuerdo de apertura del expediente sancionador. Se reproduce este fragmento del escrito de propuesta sobre la cuestión: <<Por consiguiente, a tenor de las pruebas practicadas tampoco procede en esta fase de propuesta de resolución ampliar el objeto del procedimiento que se concretó en el acuerdo de apertura del expediente sancionador a la conducta que la reclamante atribuyó a la reclamada y sobre la que versó su denuncia. Consecuencia que es una exigencia del principio de presunción de inocencia que rige en el Derecho Administrativo sancionador (artículo 24 de la Constitución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 Española), conforme al cual la imposición de una sanción exige que existan medios probatorios de cargo o incriminadores de la conducta reprochada, que la carga de la prueba corresponde a la Administración que acusa, sin que el acusado esté obligado a probar su propia inocencia, y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio (STC 76/1990, de 26 de abril), Así las cosas, el objeto del expediente sancionador que nos ocupa continúa circunscrito a la conducta de la reclamada contraria al RGPD que se determinó en la apertura de este procedimiento. >> III Normas jurídicas aplicables El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
  7. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) [...] 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El principio de transparencia se regula, fundamentalmente, en los artículos 12 a 14 del RGPD enmarcados en las secciones 1ª (“Transparencia y modalidades”) y 2ª (“Información y acceso a los datos personales”) del Capítulo III, relativo a los derechos del interesado. A propósito de la transparencia, el considerando 39 del RGPD señala que este principio “[...]exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. [...]” El artículo 12 del RGPD, bajo el epígrafe “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, dispone que “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 El precepto citado contiene diversas normas sobre la “forma” en la que se debe y puede proporcionar la información que es preceptiva. En ese sentido, dispone que se facilitará “en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo(...).” Que “será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos.” Y que “Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.” El contenido de la información relativa al tratamiento de los datos que es obligado proporcionar al interesado se regula en el RGPD en los artículos 13 y 14 que distingue dos hipótesis: que los datos se recaben del interesado (artículo 13 RGPD) o se obtengan de otra fuente (artículo 14 RGPD). El artículo 13 del RGPD establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  8. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  9. b)los datos de contacto del delegado de protección de datos, en su caso;
  10. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  11. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  12. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  13. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  14. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  15. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  16. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  17. d)el derecho a presentar una reclamación ante una autoridad de control;
  18. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  19. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” (El subrayado es nuestro) Ese precepto, además de determinar en sus apartados 2 y 3 la información que el responsable del tratamiento deberá ofrecer, determina que ésta ha de facilitarse en el momento de la recogida de los datos. No obstante, la previsión del artículo 13, apartados 1 y 2, hay que ponerla en relación con el artículo 13.4 que dispensa de la obligación a la que se refieren ambas disposiciones “cuando y en la medida en que el interesado ya disponga de la información.” Los considerandos del RGPD reiteran la misma idea. Así, el considerando 61 indica que “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso(...)” Y el considerando 62 dice que “Sin embargo, no es necesario imponer la obligación de proporcionar información cuando el interesado ya posea la información, (...).” (El subrayado es nuestro) En todo caso debe tenerse en cuenta que conforme al considerando 60 incumbe al responsable la obligación de “facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales”. IV Infracción del RGPD atribuida a la parte reclamada El acuerdo de inicio de este procedimiento sancionador atribuyó a INMARÁN una infracción del artículo 13 del RGPD tipificada en el artículo 83.5.
  20. b)del RGPD. A la luz de los documentos que obran en el expediente administrativo resulta evidente que la parte reclamada trató, en calidad de responsable, diversos datos personales de la reclamante: su nombre y apellidos, su NIF o NIE, su dirección electrónica, su domicilio y otros de carácter estrictamente privado y económico que resultaban imprescindibles para la elaboración de su declaración del IRPF correspondiente al ejercicio 2019. A tal fin, nos remitimos al Hecho Probado segundo que demuestra que la reclamante envió a la reclamada abundante documentación, necesaria para la confección de las declaraciones del IRPF de don C.C.C. y de ella, en la que constaban sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 personales. Con todos los correos que la reclamante envió a INMARÁN entre el 01/06/2020 y el 04/06/2020 adjuntaba documentos anexos; en algunos de sus mensajes electrónicos aparecen referencias hasta de siete documentos anexos. Se suma a lo expuesto que la misma parte reclamada, en el correo que envió a la reclamante el 01/07/2020 con el asunto “Reclamación de impago rentas 2019 de D. ª [la reclamante] y D. C.C.C.” -mensaje que provocaría que la parte reclamante formulara esta reclamación-, reconoció que había tratado sus datos personales. El texto del correo electrónico comienza diciendo: “Buenos días: 1. Ustedes facilitaron por email sus datos personales para la realización de sus declaraciones de la renta facilitando documentación por email, entre los cuales el contrato de alquiler para la aplicación deducción C Madrid. [...]” (El subrayado es nuestro) En definitiva, cualquiera que sea la naturaleza jurídica de la relación que existió entre INMARÁN de una parte y de otra la reclamante y don C.C.C. -cuestión sobre la que se omite todo pronunciamiento por ser absolutamente ajena a la competencia que esta Agencia tiene encomendada por su normativa reguladora- está plenamente acreditado que desde la dirección electrónica de la reclamante -***EMAIL.1- se proporcionaron a la parte reclamada diversos documentos que contenían datos personales que le concernían. A mayor abundamiento, la realidad del tratamiento de los datos personales de la reclamante efectuado por INMARÁN queda acreditada por un hecho indubitado: La reclamada elaboró la declaración del IRPF del ejercicio 2019 de la reclamante. Tal es así que, a fin de poder presentarla, le solicitó insistentemente un número de cuenta bancaria, pues el resultado era favorable a ella, y es precisamente el servicio prestado para su elaboración el que la parte reclamada pretende cobrar cuando remite el correo electrónico de 01/07/2020 del que trae causa este expediente sancionador. Así pues, INMARÁN, en su condición de responsable de tratamiento de los datos personales de la reclamante venía obligada a cumplir con el principio de transparencia y, por consiguiente, a facilitarle la información que es preceptiva de acuerdo con el artículo 13 RGPD. Además, en virtud del principio de responsabilidad proactiva (artículo 5.2 RGPD), la reclamada estaba obligada a tener implementadas las medidas necesarias para estar en condiciones de demostrar que cumplió las obligaciones que el RGPD le impone: en este caso particular haber informado a la reclamante sobre el tratamiento de sus datos personales de acuerdo con el artículo 13, precepto que describe una obligación de mínimos. El acuerdo de apertura del procedimiento sancionador por una presunta infracción del artículo 13 del RGPD se notificó a INMARÁN en forma legal, otorgándole un plazo para formular alegaciones y aportar las pruebas que estimara oportunas en su defensa. Sin embargo, la reclamada no hizo alegaciones en su descargo ni aportó documento de ninguna clase que demostrara que había informado a la reclamante como exige el RGPD. Todo ello, sin perjuicio de la información que consta incluida en todos los correos electrónicos que intercambió con ella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 Acordada por la instructora del procedimiento la apertura de una fase de prueba, INMARÁN tampoco respondió a la solicitud de prueba, pese a que se le notificó oportunamente. Así pues, la única información de la que se tiene constancia que la parte reclamada proporcionó a la reclamante es la que figuraba incluida al pie de todos los correos electrónicos que INMARÁN envió a la reclamante: “De conformidad con lo dispuesto en la Ley Orgánica 15/1999, de Protección de Datos de carácter Personal Inmarán Asesores, S.L., domiciliado en calle Santiago Ramón y Cajal, 63 -28939- Arroyomolinos (Madrid), le informa que los datos que nos ha proporcionado formarán parte de un fichero de datos de carácter personal, responsabilidad de dicha entidad, con la finalidad de gestionar las comunicaciones que pudiera mantener con el personal de la misma. En el supuesto de que desee ejercitar los derechos que le asisten de acceso, rectificación, cancelación y oposición dirija una comunicación por escrito a Grupo Inmarán a la dirección indicada (...) incluyendo copia de su Documento Nacional de Identidad (...)”. Esa cláusula, además de hacer mención aún a la Ley Orgánica 15/1999, derogada, y no al RGPD, que es de aplicación efectiva desde el 25/05/2018 -casi dos años antes de que acontecieran los hechos-, facilita únicamente la identidad del responsable del tratamiento (INMARÁN), sus datos de contacto y la posibilidad de que el titular de los datos ejercite ante ella los derechos de acceso, rectificación, cancelación y oposición. En su cláusula informativa INMARÁN omite la información relativa a la base jurídica del tratamiento de los datos que se recaban y los fines del tratamiento (letra c, del artículo 13.1 RGPD); la posibilidad de presentar una reclamación ante la autoridad de control (letra d, del artículo 13.2.); el plazo de duración del tratamiento o, en su caso, de los criterios para determinar su duración (letra a, del artículo 13.2); si la comunicación de los datos es una exigencia legal o contractual y las consecuencias de no facilitarlos (letra e, del artículo 13.2) Tampoco se mencionan en esa cláusula informativa los destinatarios o categorías de destinatarios de los datos personales, si los hubiera (letra e, del artículo 13.1); la existencia, en su caso, de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, (apartado f, del artículo 13.2.) o si se proyecta hacer un tratamiento ulterior de los datos con finalidades distintas de las que se comunican. Hemos de advertir, a propósito de la leyenda informativa que INMARÁN incluyó al pie de los correos electrónicos intercambiados con la reclamante, que en ella se indica que los datos se tratarán con “la finalidad de gestionar las comunicaciones que pudiera mantener con el personal de la misma.” (El subrayado es nuestro) Pues bien, esa estipulación no puede llevar equivocadamente a concluir que la reclamada informó sobre la finalidad del tratamiento. Esto, porque del tenor de esa información, el tratamiento de los datos que INMARÁN recabó de la reclamante tendría que estar circunscrito a comunicaciones entre el personal de la gestoría INMARÁN y la reclamante. De tal modo que de ser la finalidad del tratamiento la indicada en la cláusula de INMARÁN – “gestionar las comunicaciones que pudiera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 mantener con el personal de la misma”- el tratamiento tendría que haberse limitado a los datos de contacto de la reclamante, en particular a su dirección electrónica o, a lo sumo, también a la dirección del domicilio. Sin embargo, la estipulación mencionada no informa de la finalidad que persigue el tratamiento de los restantes datos de carácter personal, distintos de la dirección electrónica o postal, que obtuvo de la reclamante, como son el NIF, NIE o número identificativo que hubiera proporcionado, o de los restantes datos personales a los que accedió y que le permitieron elaborar la declaración de IRPF 2019 de la reclamante. Cabe añadir por último, habida cuenta del debate que existe entre las partes reclamante y reclamada acerca de si existió o no entre ambas un contrato de prestación de servicios para la elaboración de la declaración de la reclamante relativa al IRPF del ejercicio 2019, que el documento del Grupo de Trabajo del artículo 29 de 29/11/2017, “Directrices sobre la transparencia en virtud del Reglamento 2016/679”, que persigue una correcta interpretación de las disposiciones del RGPD relativas al principio de transparencia, recuerda que los requisitos de transparencia se aplican independientemente de la base legitimadora del tratamiento y durante todo el ciclo de la vida del tratamiento y que, conforme al artículo 5.2 del RGPD, el responsable del tratamiento siempre debe ser capaz de demostrar que los datos personales se tratan de forma transparente en relación con el interesado. Habiendo quedado acreditado que la reclamante remitió desde su correo electrónico ***EMAIL.1 a INMARÁN, a petición de esta entidad, documentos anexos con datos personales que le concernían; datos que la reclamada trató con el fin de elaborar la declaración del IRPF 2019 de la reclamante y, toda vez que la reclamada omitió de forma sustancial la obligación de informar a la reclamante en los términos establecidos por el artículo 13 del RGPD, se estima acreditado que INMARÁN vulneró ese precepto del RGPD, infracción tipificada en el artículo 83.5.
  21. b)del RGPD que dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  22. a)(...)
  23. b)los derechos de los interesados a tenor de los artículos 12 a 22; (...)” A efectos de prescripción, la LOPDGDD califica esta conducta en el artículo 72.1.
  24. h)de infracción muy grave y fija para ella un plazo de prescripción de tres años. El precepto dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  25. a)(...)
  26. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.” (...)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 V Sanción de multa Los poderes correctivos atribuidos a la AEPD como autoridad de control se determinan en el artículo 58.2 del RGPD, apartados
  27. a)a j). Entre ellos, el precepto menciona la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2.
  28. i)y la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado (artículo 58.2. d). De forma paralela, cabe destacar que el artículo 83.2 del RGPD establece que la sanción de multa administrativa del artículo 58.2.
  29. i)es compatible con la medida correctiva prevista en el artículo 58.2.
  30. d)del RGPD. En el presente caso, se considera oportuno sancionar a INMARÁN por la infracción del artículo 13 del RGPD de la que es responsable, con la imposición de una multa administrativa prevista en el artículo 58.2.
  31. i)El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4,5 y 6, cumpla, en cada caso individual, los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad implica una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD detalla la técnica a seguir para lograr tal adecuación entre la sanción y la infracción cometida mediante una relación de criterios o factores para graduar el importe de la sanción. El apartado 2 del artículo 83 del RGPD establece: “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  32. a)a
  33. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  34. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  35. b)la intencionalidad o negligencia en la infracción;
  36. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  37. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  38. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  39. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  40. g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21
  41. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  42. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  43. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  44. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” A propósito del apartado
  45. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  46. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  47. a)El carácter continuado de la infracción.
  48. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  49. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  50. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  51. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  52. f)La afectación a los derechos de los menores.
  53. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  54. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el supuesto que nos ocupa se aprecia la concurrencia en calidad de agravantes de las circunstancias siguientes: -Apartado
  55. b)del artículo 83.2. RGPD: “la intencionalidad o negligencia de la infracción”. La actuación de la reclamada adolece de una grave falta de diligencia por cuanto dos años después de que sea de aplicación efectiva el RGPD aún no hace referencia ni aplica la nueva normativa. -Apartado
  56. k)del artículo 83.2 RGPD en relación con el artículo 76.2.
  57. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad que desarrolla la entidad reclamada está vinculada indefectiblemente con el tratamiento de datos personales. Se aprecia la concurrencia como atenuante del siguiente factor de graduación del importe de la sanción: -Apartado
  58. a)del artículo 83.2 RGPD, que alude a la “gravedad (...) de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como del número de interesados afectados y el nivel de daños y perjuicios que haya sufrido”. Se toma en consideración a tal efecto que la infracción de la que se responsabiliza a la reclamada no puede calificarse de grave, no desde la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 perspectiva del tipo infractor considerado en abstracto sino desde el punto de vista de que no se deriva de la infracción otro daño que no sea el haber privado al interesado de la información preceptiva, que el propósito de la operación de tratamiento era atender una solicitud de asesoramiento que le dirigió la reclamada y que, según todos los indicios, el tratamiento efectuado por la reclamada se ha ceñido a esa finalidad. Así las cosas, atendidos los criterios de los artículo 83.1. y 83.2 del RGPD, se acuerda imponer a la reclamada por la infracción del artículo 13 del RGPD una sanción de multa por importe de 2.000 euros. VI Medida correctiva Estando acreditado en este procedimiento sancionador que INMARÁN vulneró el artículo 13 del RGPD, se acuerda adoptar frente a esa parte reclamada la medida correctiva prevista en el artículo 58.2.
  59. d)del RGPD, precepto que previene que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Por ello, al amparo del artículo 58.2.d), se ordena a INMARÁN que adopte todas las medidas que resulten indispensables para garantizar el correcto cumplimiento de la obligación de informar a los interesados de quienes se recaban datos personales, en el momento de la recogida, en los términos del artículo 13 del RGPD. La imposición de esta medida es compatible con la imposición de una multa administrativa (artículo 83.2 del RGPD). La entidad reclamada deberá acreditar que ha adoptado las medidas oportunas en el plazo de un mes desde que la resolución sancionadora fuera ejecutiva. Se le informa de que, según el artículo 83.6 del RGPD, el incumplimiento de las resoluciones de la autoridad de control adoptadas de acuerdo con el artículo 58.2.del RGPD constituye una infracción autónoma, que dará lugar a la apertura del correspondiente expediente sancionador por dicha infracción, para la que se prevé una sanción de multa de hasta 20 000 000 de euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a INMARAN ASESORES, S.L., con NIF B85508232, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 2.000 € (dos mil euros) SEGUNDO: ORDENAR a INMARÁN ASESORES, S.L., con NIF B85508232, que, de conformidad con el artículo 58.2.
  60. d)del RGPD, proceda, dentro del plazo de un mes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 computado desde que la presente resolución fuera ejecutiva, a adoptar todas las medidas que resulten indispensables para garantizar que informa en los términos previstos en el artículo 13 del RGPD a los interesados de quienes se recaban datos personales, en el momento de la recogida. TERCERO: NOTIFICAR la presente resolución a INMARÁN ASESORES, S.L. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
  61. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
  62. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.