PS-00469-2023

1/12  Expediente Nº: EXP202309529 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GRIMEY WEAR, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: EXP202309529 (PS/00469/2023) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 02/07/23, D. A.A.A. (en adelante, la parte reclamante), presenta escrito de reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad GRIMEY WEAR, S.L., con CIF.: B86141272, (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI). Los hechos que manifiesta el reclamante son los siguientes: “El día 27 de Enero de 2023 les reclamo el borrado de todos mis datos asociados a mi cuenta y me contestan en 30 de Enero de 2023 que lo pasan al personal responsable. El día 23 de Abril de 2023 les recuerdo que aún no han borrado mis datos y ya han superado el plazo legal, aportándome pruebas de que esto se realiza el 25 de Abril. Ante mi sorpresa, desde el 25 de Abril donde no debería existir, recibo otros dos correos de newsletters, uno el 21 de Junio y el otro uno de Julio cuando se suponía que ya habían borrado mis datos”. Junto al escrito de reclamación, se acompaña la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 - Fechado el 27/01/23, copia del correo electrónico enviado por parte del reclamante a la dirección store@grimey.com, solicitando que se borren todos sus datos de la cuenta de correo electrónico así como todas las newsleter. - Fechado el 23/04/23, copia del correo electrónico enviado por parte del reclamante a la dirección store@grimey.com con el siguiente mensaje: o - - Fechado el 25/04/23, copia del correo electrónico recibido desde la dirección store@grimey.com, indicando en el mismo: “Hola A.A.A., Trasladamos al departamento correspondiente”. Fechado el 25/04/23, copia del correo electrónico recibido desde la dirección store@grimey.com , indicando en el mismo: “… te facilitamos cómo la cuenta está dada de baja y de la newsletter te han dado de baja nuestros compañeros”. Fechado el 20/06/23, copia del correo electrónico recibido desde la dirección “Grimey” grimey@news.grimey.com , conteniendo mensajes publicitarios. o - En la parte final de dichos correos se puede leer el siguiente mensaje: “Cualquier consulta puedes contactar con nosotros escribiendo a store@grimey.com ¿Quieres dejar de recibir estos correos electrónicos? Puedes modificar tus preferencias <<aquí>> Fechado el 21/06/23, copia del correo electrónico enviado por parte del reclamante a la dirección grimey@news.grimey.com, con el siguiente mensaje: o - “Han pasado ya casi tres meses desde que realicé la solicitud de borrado de mis datos y está no se ha realizado ya que me puedo seguir metiendo en la cuenta. El plazo legal para realizar este proceso y reflejado en la ley de datos es de un mes desde mi solicitud, ¿cuándo se va a realizar el borrado de la cuenta?” “¿Por qué me ha llegado esta publicidad cuando tengo un correo de confirmación por vuestra parte de que me eliminasteis de vuestra base de datos en Abril? Ante el incumplimiento por vuestra parte de la Ley de Protección de Datos de forma reiterada, contactaré con a AEGPD Fechado el 01/07/23, copia del correo electrónico recibido desde la dirección grimey@news.grimey.com , conteniendo mensajes publicitarios. En la parte final de dichos correos se puede leer el siguiente mensaje: “Cualquier consulta puedes contactar con nosotros escribiendo a store@grimey.com ¿Quieres dejar de recibir estos correos electrónicos? Puedes modificar tus preferencias <<aquí>> SEGUNDO: Con fecha 07/07/23, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, fue enviado a la parte reclamada el día 07/07/23 a través del servicio de notificaciones electrónicas, “NOTIFIC@”, siendo aceptado por el reclamado el 10/07/23. TERCERO: Con fecha 03/08/23, se recibe en esta Agencia escrito de contestación de la parte reclamada al requerimiento realizado, en el cual manifiesta lo siguiente: “Nos dirigimos a ustedes en relación a la denuncia recibida por presunto incumplimiento de RGPD en nuestra plataforma web (grimey.com). A través de este recurso, deseamos presentar nuestras alegaciones y explicar los hechos pertinentes que rodean esta situación. En primer lugar, deseamos señalar que nuestra empresa, Grimey Wear, se encuentra en un periodo de transición de una plataforma web a otra. Durante este proceso de migración, se produjo una situación inesperada que resultó en el cruce de algunos datos de clientes antiguos. Sin embargo, queremos enfatizar que esta transferencia de datos fue un incidente aislado y no refleja en ningún caso nuestras prácticas habituales de protección de datos. Podrán comprobar en nuestro histórico que esto es correcto. (No obstante, comprobando los hechos y pruebas expuestos en la denuncia, aceptamos y reconocemos el error cometido, y aparte de disculparnos, tanto con su organismo como con el afectado, podemos confirmar que ya se realizaron las gestiones pertinentes y el problema se encuentra totalmente subsanado). Es importante tener en cuenta que, debido al cambio de plataforma, actualmente no disponemos del formulario de suscripción a nuestra web (En particular, el alta de este cliente se realizó en el año 2008). Sin embargo, estamos trabajando diligentemente para restablecerlo lo antes posible. Nuestro objetivo principal es cumplir con los requisitos legales y garantizar la total transparencia en el manejo de los datos de nuestros usuarios, tal y como hemos hecho en todo momento desde nuestra apertura a nivel online hace alrededor de 10 años. Nos gustaría destacar que estamos realizando más cambios significativos y realizando importantes inversiones en nuestras plataformas con el propósito expreso de evitar este tipo de incidencias en el futuro y asegurarnos de que siempre operamos dentro de los límites de la legalidad vigente. Hemos implementado medidas adicionales de seguridad y privacidad para proteger la información de nuestros usuarios, y estamos comprometidos en salvaguardar sus datos personales de manera responsable. (Para ello hemos contratado recientemente los servicios de la plataforma Salesforce conjuntamente con una agencia externa que nos guiará y asesorará, la cual dispone de las herramientas necesarias para el control de absolutamente todos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 los datos de nuestros clientes, así como de su adecuada gestión en vistas a que no volvamos a incurrir en este tipo de infracciones u otras tantas). Agradecemos su comprensión en este asunto y nos disculpamos por cualquier preocupación o molestia que esto haya ocasionado. En vista de lo expuesto, solicitamos respetuosamente que se tenga en cuenta la naturaleza aislada del incidente y el enfoque diligente que hemos adoptado para abordar la situación. Confiamos en que nuestra respuesta al incidente demuestra nuestro compromiso con la protección de los datos personales y nuestra disposición a cooperar plenamente con las autoridades competentes. Agradecemos su atención a este asunto y esperamos que, tras considerar las circunstancias descritas, se pueda reevaluar la denuncia y se tenga en cuenta nuestra respuesta y acciones correctivas tomadas. PD: Adjuntamos capturas de pantalla de nuestros procesos de alta y baja, así como un extracto de la página de Política de Privacidad en nuestra web. Lamentablemente no disponemos de los datos de registro del cliente al haber sido eliminada por completo toda muestra de su cuenta con nosotros. Anotar que la cuenta fue creada en 2016 y que el sistema de registro distaba ligeramente del actual que se modificó con la actualización de la Ley de protección de datos. CUARTO: Con fecha 13/08/23 se recibe en esta Agencia un nuevo escrito de la parte reclamante, como ampliación a su reclamación inicial, indicando lo siguiente: Grimey Wear SL me envío una comunicación donde se indica claramente que me habían cometido un error la política de protección de datos y que en su momento no procedieron al borrado completo todas las listas de difusión asociadas a mi cuenta y me aseguraban y cito palabras textuales suyas: "nos hemos asegurado de eliminar de manera definitiva tus datos de nuestras listas de difusión. Nuestro equipo ha sido reentrenado en la correcta gestión de los datos de los clientes y estamos comprometidos a mantener altos estándares de protección de datos en el futuro." Dicho email de confirmación tiene fecha del 26 de Julio de 2023 pero ante mi sorpresa el día de ayer, es decir, 11 de agosto me han vuelto a mandar una comunicación comercial cuando se supone que ya me habían borrado mis datos. Junto a este escrito se acompaña la siguiente documentación: - Fechado el 26/07/23, copia del correo electrónico recibido desde la dirección administracion@grimeywear.com indicando en el mismo lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid “Estimado cliente, En primer lugar, queremos expresar nuestras más sinceras disculpas por el error que hemos cometido en relación con la política de protección de datos en nuestros sistemas. Reconocemos plenamente nuestra responsabilidad en este asunto y lamentamos profundamente cualquier inconveniente que esto te haya podido causar. Entendemos la importancia de salvaguardar la privacidad y los datos personales de nuestros clientes, y lamentamos mucho que en esta www.aepd.es sedeagpd.gob.es 5/12 ocasión no hayamos cumplido con los estándares que mereces y que nosotros mismos nos imponemos. El error ocurrido en nuestros sistemas resultó en que no procediéramos al borrado completo de todas las listas de difusión asociadas a tu cuenta, a pesar de que solicitaste expresamente tu baja. Reconocemos que esto fue una falta por nuestra parte y hemos revisado cuidadosamente nuestros procesos para asegurarnos de que no se repita en el futuro. Queremos enfatizar que nuestra intención siempre ha sido mantener una relación cercana y respetuosa con nuestros clientes, y que nunca tuvimos la intención de causarte ninguna molestia. Hemos tomado este incidente como una oportunidad para aprender y mejorar nuestros sistemas, de manera que podamos ofrecerte un servicio más confiable y seguro. Hemos tomado todas las medidas necesarias para solucionar por completo este caso particular, nos hemos asegurado de eliminar de manera definitiva tus datos de nuestras listas de difusión. Nuestro equipo ha sido reentrenado en la correcta gestión de los datos de los clientes y estamos comprometidos a mantener altos estándares de protección de datos en el futuro. Vuestra satisfacción es nuestra prioridad, y esperamos sinceramente que puedas aceptar nuestras disculpas. Agradecemos enormemente tu comprensión. Si tienes alguna otra inquietud o pregunta, no dudes en comunicarte con nosotros. Estamos aquí para ayudarte en lo que necesite. De nuevo, gracias por su comprensión. - Fechado el 11/08/23, copia del correo electrónico recibido desde la dirección grimey@news.grimey.com , conteniendo mensajes publicitarios. QUINTO: Con fecha 02/10/23, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante FUNDAMENTOS DE DERECHO I. Competencia. De acuerdo con lo establecido en el artículo 43.1 de la LSSI y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 La Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II. Síntesis de los hechos acaecidos: En el escrito de reclamación presentado por el reclamante se manifiesta que, el 27/01/23 envió un correo electrónico a la parte reclamada en el que solicitaba ejercer su derecho de borrado de todos sus datos personales que hubiera en los sistemas de parte reclamada para que no volvieran a enviarle más comunicaciones comerciales y el 30/01/23 recibe el acuse de recibo indicándole que “lo van a pasar al personal responsable”. El día 23/04/23 el reclamante vuelve a enviar un correo electrónico a la parte reclamada recordando que aún no han borrado sus datos personales pues aún tiene acceso al sistema con sus datos y sus claves, contestándole que el borrado de sus datos se realizará inmediatamente, pero pese a ello, vuelve a recibir otros dos correos electrónicos publicitarios el 21/06/23 y el 01/07/23. Con fecha 03/08/23, como contestación al requerimiento hecho por parte de esta Agencia, la parte reclamada manifiesta que la entidad se encontraba en un periodo de transición de una plataforma web a otra cuando ocurrieron los hechos y que, durante ese proceso de migración se produjo una situación inesperada que resultó en el cruce de algunos datos de clientes antiguos siendo éste un incidente aislado por lo que pedía disculpas y garantizaba que dicha situación no volvería a ocurrir pues habían puesto los medios técnicos necesarios para ello. En paralelo con ello, el reclamante recibe, con fecha 26/07/23, un correo electrónico de la parte reclamada en el que le piden disculpas por los errores cometidos y le aseguran que han eliminado de forma definitiva todos sus datos personales de sus listas de difusión. No obstante, el día 11/08/23, el reclamante vuelve a recibir un nuevo correo electrónico publicitario desde la dirección grimey@news.grimey.com. III Prohibición de comunicaciones comerciales no solicitadas o expresamente autorizadas La LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo como: “

1. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. Por tanto, el concepto de comunicación comercial, de acuerdo con la definición anterior, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 Por otro lado, la LSSI en su Anexo
2. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de “Servicio de la Sociedad de la Información” comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Según el apartado
3. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” IV Tipificación de la posible infracción cometida por el envío de comunicaciones comerciales sin el previo consentimiento del afectado El hecho de que el reclamado envíe correos electrónicos publicitarios al reclamante habiendo éste solicitado que no le envíen más publicidad puede constituir una vulneración de lo establecido en el artículo 21 de la LSSI, pues establece lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” V Propuesta y Graduación de Sanción La citada infracción se encuentra tipificada como “leve” en el art. 38.4.
4. d)de dicha norma, que califica como tal, “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. A tenor de lo establecido en el artículo 39.1.
5. c)de la LSSI, las infracciones leves podrán sancionarse con multa de hasta 30.000 €. Tras las evidencias obtenidas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de la LSSI: - La existencia de intencionalidad (apartado a), ya que la parte reclamante había solicitado hasta en dos ocasiones que no volvieran a enviarle más comunicaciones comerciales vía correo electrónico y la entidad reclamada había acusado recibo de su solicitud confirmando que había sido atendida incluso confirmándolo ante esta Agencia y pese a ello, después ha vuelto a enviarle un nuevo correo electrónico publicitario. Con arreglo a dichos criterios, se estima adecuado imponer una sanción inicial de 5.000 euros (cinco mil euros), por la infracción del artículo 21.1 de la LSSI, sin perjuicio de lo que resulte de la instrucción del procedimiento. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la entidad GRIMEY WEAR, S.L., con CIF.: B86141272 por La vulneración del artículo 21 de la LSSI, tipificada como leve en el art. 38.4.d). SEGUNDO: NOMBRAR como Instructor a R.R.R., y Secretaria, en su caso, a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, todos ellos parte del presente expediente administrativo. CUARTO: QUE: a los efectos previstos en el art. 64.2
6. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 5.000 euros (cinco mil euros) por la infracción del artículo 21 de la LSSI, sin perjuicio de lo que resulte de la instrucción del presente procedimiento sancionador. QUINTO: NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a entidad CARSO TRADING, S.L., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
7. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000 euros (tres mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, (4.000 euros o 3.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución, se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 43.2 de la LSSI. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 15 de diciembre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 3000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202309529, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a GRIMEY WEAR, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es