1/13 Expediente N.º: EXP202313713 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IDFINANCE SPAIN, S.A.U. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 26 de abril de 2024, se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202313713 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 28 de agosto de 2023, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ID FINANCE SPAIN, S.A.U. con NIF A66487190 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la entidad reclamada incluye sus datos personales en sistemas de información crediticia, en relación con una deuda que se encuentra impugnada y admitida a trámite en el Juzgado de Primera Instancia número X de Barcelona, y de haber interpuesto reclamación ante esta Agencia (número de expediente EXP202303972), en la que la entidad reclamada indicaba que suprimía de los sistemas de información crediticia los datos del reclamante. Aporta admisión a trámite del juzgado, de fecha 10 de marzo de 2023; escrito en el que se comunicaba la supresión de sus datos de los sistemas de información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 crediticia, de 5 de mayo de 2023; e informe de ASNEF sobre la inclusión de sus datos a instancias de la parte reclamada, de fecha 27 de agosto de 2023. SEGUNDO: Con fecha 6 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ID FINANCE SPAIN, S.A.U. es una gran empresa constituida en el año 2015, cuyo objeto social es la concesión de préstamos o créditos no hipotecarios a cualquier persona, con una cantidad de empleados de 146 personas, y una cifra de negocios de 178.771.000 € en el año 2022. CUARTO: Con fecha 29 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: No procede la calificación de las agravantes previstas en el acuerdo de inicio al considerar que debe proceder aplicar dicha agravante por ser ID FINANCE una entidad de crédito, ya que está fuera del ámbito de aplicación de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito. ID FINANCE dio de baja los datos del Reclamante del fichero de ASNEF en marzo/mayo de 2023 y tiene medidas de seguridad técnicas y organizativas para garantizar que únicamente se comunican datos de clientes a los sistemas de información crediticia cuando cumplan los requisitos legales para hacerlo. Sin embargo, cabe considerar que siempre es posible que ocurra algún error humano e incluso técnico que afecte al resultado de la gestión. En este caso en concreto, fue un error técnico el que causó la nueva alta de los datos del Reclamante en ASNEF, los cuales fueron dados de baja inmediatamente por ID FINANCE tras conocerse el origen del error comunicado por el Reclamante. ID FINANCE ha procedido tomando todas las medidas que razonablemente eran eficaces e idóneas para conseguir el resultado esperado, teniendo en cuenta los medios a su disposición para dar de baja los datos del Reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 En cualquier caso, se trata de un incidente de seguridad relativo a la confidencialidad de los datos del Reclamante causado por un error técnico (la desconfiguración del botón del expediente del cliente Reclamante) y no se trata de ningún tratamiento de datos previsto en el Registro de Actividades del Tratamiento de ID FINANCE. Es decir, al tratarse de un tratamiento de datos erróneo, no hay una base jurídica prevista por ID FINANCE, ya que se trató de un incidente de seguridad relacionado con la confidencialidad de los datos, que, tras realizar las investigaciones oportunas, se concluyó que no resultaba necesario comunicarlo a la AEPD debido a la naturaleza, volumen de afectados, tipo de datos y alcance del incidente; ni se estimó necesario informar de ello al Reclamante, puesto que fue él mismo quien notificó el incidente. SEXTO: Con fecha 18 de marzo de 2024, el instructor del procedimiento da por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por IDFINANCE SPAIN, S.A.U., y la documentación que a ellas acompaña. SEPTIMO: Con fecha 26 de abril de 2024, se remite copia del expediente a la parte reclamada, de todos los documentos obrantes en el expediente hasta dicha fecha. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 27 de agosto de 2023, se han incluido los datos personales de la parte reclamante en fichero de solvencia patrimonial a solicitud de la parte reclamada, pese a que la deuda se encuentra impugnada y admitida a trámite en el Juzgado de Primera Instancia número 4 de Barcelona, el 10 de marzo de 2023. SEGUNDO: La parte reclamada afirma que fue un error técnico y que los datos de la parte reclamante han sido dados de baja en ASNEF, a requerimiento suyo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, la parte reclamante denuncia la inclusión indebida de sus datos personales en ficheros de solvencia patrimonial, ya que la deuda aún no es cierta ni exigible pues se encuentra cuestionada en un proceso judicial en curso. La parte reclamante afirma que la entidad reclamada incluye sus datos personales en sistemas de información crediticia, en relación con una deuda que se encuentra impugnada y admitida a trámite en el Juzgado de Primera Instancia número 4 de Barcelona, el 10 de marzo de 2023 y remite informe de ASNEF sobre la inclusión de sus datos a instancias de la parte reclamada, de fecha 27 de agosto de 2023. La parte reclamada afirma que los hechos denunciados son un incidente de seguridad causado por un error técnico (la desconfiguración del botón del expediente del cliente Reclamante). III Artículo 6.1 del RGPD El RGPD en su artículo 4.11 define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En relación con la licitud del tratamiento de datos de carácter personal, el artículo 6.1 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En relación con los sistemas de información crediticia, hemos de acudir al artículo 20.1 de la LOPDGDD, destacando su apartado b), donde se establece lo siguiente: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta.” Por su parte, el artículo 20 de la LOPDGDD, relativo a los sistemas de información crediticia establece lo siguiente: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 IV Tipificación de la infracción del artículo 6.1 del RGPD La inclusión de los datos personales de la parte reclamante en ficheros de solvencia patrimonial, pese a que la deuda aún no es cierta ni exigible porque se encuentra cuestionada en un proceso judicial en curso, supone una infracción del artículo 6.1 del RGPD. No obstante, la parte reclamada afirma que no es una entidad de crédito por lo que no procede aplicar el agravante del artículo 76.2
- b)de la LOPDGDD. Seguidamente la parte reclamada en respuesta al acuerdo de inicia afirma además que ya ha dado de baja al reclamante lo cual implica que cuenta con las medidas de seguridad técnicas y organizativas necesarias, siendo los hechos que nos ocupan fruto de un error técnico (la desconfiguración del botón del expediente del cliente Reclamante), y que no se trata de ningún tratamiento de datos indebido. En este sentido ha de indicarse en primer lugar que el artículo 76.2
- b)LOPDGDD, considera como agravante la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, lo cual no vincula sólo a las entidades de crédito, sino también a las entidades que prestan servicios financieros a los usuarios pues su actividad implica el tratamiento de datos personales, razón por la cual dicho agravante resulta ser de aplicación. En relación con la consideración de que se trata de un error técnico no es un argumento que permita exonerar de responsabilidad a la parte reclamada, ni tampoco otorga legitimidad en el tratamiento de los datos personales ya que este ha sido un tratamiento de datos ilícito, ya que los datos personales de la parte reclamante han sido indebidamente inscritos en el fichero de solvencia ASNEF, pese a que la deuda objeto de inscripción no es cierta pues se encuentra recurrida judicialmente. Por todo ello, los hechos denunciados suponen una infracción del artículo 6.1 del RGPD, ya que la inclusión de los datos personales en ficheros de solvencia por una deuda pendiente de resolución judicial, supone un tratamiento de datos personales sin que conste que la parte reclamada haya realizado la ponderación necesaria que permita determinar la prevalencia de su interés legítimo sobre los intereses, derechos y libertades de la parte reclamante, al no quedar este tratamiento amparado por la presunción de licitud que contempla el artículo 20 de la LOPDGDD ya que la deuda requerida objeto de inclusión en los ficheros de solvencia aún no es cierta ni exigible al encontrarse en un proceso judicial en curso. VI Propuesta de sanción por la infracción del artículo 6.1 del RGPD El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; Asimismo el artículo 72.1
- b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.” Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: En el presente caso estamos ante acción negligente (artículo 83.2
- b)ya que se incluyen los datos personales de la parte reclamante en ficheros de solvencia, pese a encontrarse la deuda objeto de inclusión en procedimiento judicial en curso. Además, hay que tener en cuenta que se mantuvieron los datos del reclamante a pesar de tener conocimiento del procedimiento judicial. La vinculación con el tratamiento de datos personales, por parte de la entidad recamada, al ser una entidad que presta servicios financieros a sus usuarios, según el artículo 76.2
- b)de la LOPDGDD. Procede graduar la sanción a imponer al denunciado y fijarla en la cuantía de 70.000 € de conformidad con el artículo 58.2 del RGPD. VII Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 En este caso concreto se ha indicado por la parte reclamada que los datos personales de la parte reclamante ya no obran en el fichero de solvencia. No obstante, se le requiere a la parte reclamada para que, en el plazo de un mes desde la recepción de la resolución de este procedimiento sancionador, acredite que se han adoptados las medidas de seguridad necesarias para que hechos como el que nos ocupa, es decir, incorporar los datos personales de sus clientes en ficheros de solvencia patrimonial por una deuda no cierta, no sea posible, ni siquiera como consecuencia de un error técnico. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a IDFINANCE SPAIN, S.A.U., con NIF A66487190, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 70.000 euros (setenta mil euros) Que por la Directora de la Agencia Española de Protección de Datos se ordene a IDFINANCE SPAIN, S.A.U., con NIF A66487190, que en virtud del artículo 58.2.
- d)del RGPD, acredite en el plazo de un mes desde la recepción de la resolución de este procedimiento sancionador, se acredite que los datos personales de la reclamante ya no obran en ningún fichero de solvencia patrimonial por requerimiento de la parte reclamada por una deuda no cierta, y que se están aplicando nuevas medidas de mejora que evitan la inscripción indebida en ficheros de solvencia patrimonial, por un error técnico. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 56.000€ (cincuenta y seis mil euros), euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00 0000 0000 0000 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 B.B.B. INSPECTOR/INSTRUCTOR >> SEGUNDO: En fecha 16 de mayo de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 56000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Directora, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202313713, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a IDFINANCE SPAIN, S.A.U. para que en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. TERCERO: NOTIFICAR la presente resolución a IDFINANCE SPAIN, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1331-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es