1/14 Expediente N.º: EXP202414976 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CLUB RÁPIDO DE BOUZAS (en adelante, CLUB BOUZAS), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202414976 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a CLUB RÁPIDO DE BOUZAS con NIF G36711513 (en adelante, CLUB BOUZAS). Los hechos que se pone en conocimiento de esta autoridad son: La Policía Local de ***LOCALIDAD.1 aporta Parte de Servicio de fecha 11/10/2024, a raíz de una llamada de (...) del padre de un menor que juega en el (…) con sede en el campo A.A.A., advirtiendo que en el exterior del mismo, “observó una caja de cartón llena de documentación de jugadores pertenecientes al referido club, de muchas temporadas, la mayor parte de los cuales eran de menores de edad, situada en el interior de un contenedor de basura, ubicado en la vía pública sobre la acera y próximo a la entrada principal del campo.” Dos Agentes de la Policía Local de ***LOCALIDAD.1 acudieron a la llamada y acompañados del requirente fueron al contenedor donde manifiestan ver: “en el interior de un contenedor verde, situado en la parte superior del mimo, con las solapas abiertas y visible para los viandantes observan la caja de cartón llena de documentación, en la que se localizan cientos de carnes y fichas federativas en las que figuran datos personales tipo: DNI, nombre y apellidos, domicilio, fotografía…”. Los Agentes cogieron la caja y la trasladaron a la Jefatura de Policía donde la inspeccionaron y detallaron su contenido en el Parte de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Servicio. Posteriormente localizaron al gerente del (…) resultando ser B.B.B. con DNI: ***NIF.1 a quien mostraron toda la documentación hallada, manifestando este que “estuvieron limpiando estos días y que alguien se debió confundir y tirar esa caja, pero que desconoce quién.” Inicialmente se cuenta con la siguiente documentación: - Informe de la Policía Local de ***LOCALIDAD.1, señalado anteriormente (…). - Reportaje fotográfico de la documentación localizada, realizado por la Policía Local de ***LOCALIDAD.1 y que muestra: o Carnés emitidos por la Federación Gallega de Fútbol donde aparece: fotografía, nombre, apellidos y DNI de los jugadores. o Fichas de jugadores en las que aparecen fotografía, nombre y apellidos, DNI, domicilio, teléfono, copia DNI y datos de padres. o Fotografías de jugadores con nombre y apellidos por detrás. SEGUNDO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha 20/11/2024, la entidad CLUB BOUZAS es una asociación constituida en el año 2017 y con unos resultados de explotación para 2023 de (…) €. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente Ley Orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas Conviene tomar en consideración el detallado Informe de la Policía Local de ***LOCALIDAD.1: “Siendo las 20:30 horas del día 08/10/2024 nos personamos en el exterior del campo de fútbol Baltasar Pújales, sito en la calle Paz Andrade n.º 2 de Bouzas, ***LOCALIDAD.1, donde somos requeridos por: ***NIF.1, con DNI ***NIF.2 . Esta persona manifiesta que es padre de un menor que juega en el club "(…)", con sede en el campo A.A.A., y que en el exterior del mismo observó que había una caja de cartón llena de documentación de jugadores pertenecientes al referido club de muchas temporadas, la mayor parte de los cuales eran de menores de edad, situada en el interior de un contenedor de basura ubicado en vía pública, sobre la acera y próximo a la entrada principal del campo. El requirente acompaña a los actuantes hasta el contenedor. En el interior de un contenedor verde, situada en la parte superior del mismo, con las solapas abiertas, y visible para los viandantes, observan la caja de cartón llena de documentación, en la que se localizan cientos de carnés y fichas federativas en las que figuran datos personales tipo: DNI, nombre y apellidos, domicilio, fotografía, etc. Los actuantes cogemos la caja y se introduce en vehículo policial, trasladándola a Jefatura, lugar en que se inspecciona la caja y se observa que en el interior de la misma hay: - Un total de 1.444 carnés emitidos por la Federación Gallega de Fútbol donde aparece: fotografía, nombre, apellidos y DNI de los jugadores. - Cientos de fichas de jugadores en las que aparecen fotografía, nombre y apellidos, DNI, domicilio, teléfono móvil, datos de uno de los padres: Nombre y Apellidos, DNI, email, domicilio y n.º de teléfono móvil, además de una fotocopia del DNI o del libro de familia. En muchas de ellas aparece un número de cuenta para que se domicilien los pagos. - Fotografías de jugadores con nombre y apellidos por detrás. - Un DNI original sin el chip. - Otra documentación del club. Se localiza al gerente del (…)", resultando ser: B.B.B., con DNI ***NIF.1, y se le informa de que se va a realizar un informe que será remitido a la AEPD, mostrándole toda la documentación hallada, manifestando éste que estuvieron C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 limpiando estos días y que alguien se debió confundir y tirar esa caja, pero que desconoce quién. Esta persona aporta datos del club: CIF: G-36711513, nombre: "Club Rápido de Bouzas", domicilio: (…), ***LOCALIDAD.1, (…): C.C.C., con nº de teléfono: ***TELÉFONO.1. Dicha caja es recogida y todo su contenido es depositado en la Jefatura de la Policía Local de ***LOCALIDAD.1, en un saco precintado con n.º de precinto (…). Página (…) Jefatura Policía Local de ***LOCALIDAD.1”. Por lo que respecta al anexo fotográfico, la Polía Local de ***LOCALIDAD.1 junto a la fotografía le añade el titulo siguiente: - Fotografía nº 1: Fichas en las que aparece fotografía, nombre y apellidos, DNI, domicilio y copia DNI - Fotografía nº 2: Ejemplo de ficha con fotografía, nombre y apellidos, DNI, domicilio y copia DNI - Fotografía nº 3: Fichas en las que aparece fotografía, nombre y apellidos, DNI, domicilio, datos de uno de los padres o responsable legal y en muchas de ellas una cuenta bancaria para domiciliar pagos. - Fotografía nº 4: Fotografías con nombre y apellidos escritos en la parte posterior. (se cuentan más de 100 fotografías). - Fotografía nº 6: Carnés federativos de jugadores - Fotografía nº 7: Total de documentación localizada. - Fotografía nº 8: Total de documentación localizada (por esta Instructora se aprecia que la documentación en su conjunto ocupa una mesa de escritorio de oficina).” En el presente caso, de acuerdo con lo establecido en los artículos 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el CLUB BOUZAS realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas como su nombre y apellidos, su fotografía, fecha de nacimiento, domicilio, correo electrónico y número de cuenta bancaria, entre otros. CLUB BOUZAS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Integridad y confidencialidad La letra
- f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente caso, el CLUB BOUZAS, como responsable del tratamiento de los datos personales de sus usuarios, estaba obligado a controlar que no se burlasen las medidas de seguridad, sin embargo, según manifiesta su gerente alguien debió confundirse y tiró esos documentos a un contenedor de basura. Con esta actuación, se permitió el acceso no autorizado por parte de terceros, a cientos de datos personales como nombre, apellidos, fotografía…, por cuanto dichos documentos fueron vistos por el padre de un niño que juega en el Club, y que llamó a la Policía al ver una caja de cartón llena de documentación de jugadores pertenecientes al referido club de muchas temporadas, la mayor parte de los cuales eran de menores de edad. El hecho de que fuese la actuación negligente de un empleado o tercero no exime al Club de su responsabilidad, en cuanto responsable de la correcta utilización de las medidas de seguridad que deberían haber garantizado que cientos de documentos no acabasen en un contenedor de basura, a disposición de cualquiera que pasase por la vía pública. El almacenamiento en una caja de cartón de 1.444 carnés, cientos de fichas, fotografías (en muchos casos de menores de edad), que cuentan con datos personales como nombre y apellidos, dirección, número de teléfono etc., constataría la falta de medidas organizativas para garantizar que el tratamiento de estos datos sea seguro y confidencial. El CLUB BOUZAS debería haber extremado las medidas para que nadie de su organización introdujese en una caja de cartón, de tan fácil acceso, documentos mezclados de diferentes tipos, diferentes temporadas, menores de edad... La inexistencia de medidas se demostraría también por el posterior depósito de dicha caja en un contenedor de basura, reconociendo el gerente que no sabía quién lo había hecho. De todo ello se deduciría que dicho Club no ha adoptado las medidas técnicas y organizativas apropiadas a fin de preservar la confidencialidad y la integridad de los datos que almacena, por cuanto tras introducirlos de forma poco ordenada en una caja de cartón, “alguien” los consideró como “basura”. Bastaría con haber establecido medidas organizativas adecuadas, implantarlas y utilizarlas con una diligencia razonable. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a CLUB BOUZAS, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
- f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera con carácter previo, (…). A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 al vulnerar lo establecido en el artículo 5.1.
- f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 500,00€ euros. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a CLUB BOUZAS para que, en el plazo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la adopción de medidas técnicas y organizativas, a fin de preservar la confidencialidad y la integridad de los datos personales de jugadores del Club que almacena, y así garantizar el cumplimiento de lo dispuesto en el artículo 5.1
- f)del RGPD. - En relación con el tiempo de conservación de dichos datos, establecer un plazo máximo de conservación de esa información, en relación con la necesidad de acreditar, que dichos jugadores puedan seguir participando en competiciones, pero suprimirla cuando abandonen el Club o bien ya no sea necesaria. - Establecer un mecanismo seguro de destrucción de dicha información. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a CLUB RÁPIDO DE BOUZAS, con NIF G36711513, por la presunta infracción de los Artículo 5.1.
- f)del RGPD y Artículo 32 del RGPD, tipificadas, respectivamente en los artículos 83.4 y 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a D.D.D. y, como secretario/a, a E.E.E., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 1.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a CLUB RÁPIDO DE BOUZAS, con NIF G36711513, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 800,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 800,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 600,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (800,00 euros o 600,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
- es)y de la Sede electrónica (sedeagpd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 1479-111124 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 2 de enero de 2025, CLUB BOUZAS ha procedido al pago de la sanción en la cuantía de 600,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: CLUB BOUZAS ha renunciado expresamente a cualquier acción o recurso en vía administrativa contra la sanción. CUARTO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 600,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, CLUB BOUZAS ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas y renunciando expresamente a cualquier acción o recurso en vía administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 1.000,00 euros. Tras haber procedido CLUB RÁPIDO DE BOUZAS al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 600,00 euros. SEGUNDO: DECLARAR la terminación del procedimiento EXP202414976, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a CLUB RÁPIDO DE BOUZAS para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a CLUB RÁPIDO DE BOUZAS. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por CLUB RÁPIDO DE BOUZAS, no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contencioso-administrativa. En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado expresamente, la presente resolución será firme y plenamente ejecutiva a partir de su notificación. No obstante, conforme a lo previsto en el artículo 90.3.
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. 1259-180225 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es