← España

PS-00474-2025

1/18  Expediente N.º: EXP202402042 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a INTEGRAL DE VIGILANCIA Y CONTROL, S.L. (en adelante, INTEGRAL), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202402042 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 3 de enero de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a INTEGRAL DE VIGILANCIA Y CONTROL, S.L. con NIF B95486338 (en adelante, INTEGRAL o la reclamada). Los hechos que se pusieron en conocimiento de esta autoridad eran: A.A.A. (en adelante la reclamante o A.A.A.) señala un hilo temporal de recepción de correos electrónicos remitidos desde el Departamento de Administración de INTEGRAL a su email personal (“***EMAIL.1”), en un periodo que abarca desde el 3 de octubre de 2023 al 23 de noviembre de 2023, adjuntando copia de los correos remitidos, todo ello además de una llamada telefónica desde la empresa el día 21 de noviembre de 2023. De este modo, el 3 de octubre de 2023, habría recibido el primer correo del Departamento de Administración de INTEGRAL, desde la dirección ***EMAIL.2, en su correo electrónico personal, comunicándole la realización de un reconocimiento médico. A continuación, según constan en la copia del email que obra en el expediente, el 6 de octubre, la empresa, desde la misma dirección electrónica (***EMAIL.2), y también desde el Departamento de Administración de INTEGRAL, habría vuelto a mandar un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/18 email, en este caso, instándole a que facilite el DNI y TIP (la Tarjeta de Identidad Profesional) en vigor, justificando además tal reclamación en que la empresa estaba “en pleno proceso de actualización de datos”. De nuevo, el 11 de octubre de 2023, el Departamento de Administración de INTEGRAL, y desde la dirección de la empresa (***EMAIL.2), le habría requerido otra vez la misma información: el DNI y TIP en vigor. Una vez más, el 21 de noviembre de 2023, el Departamento de Administración de INTEGRAL habría reiterado la solicitud de la misma información mediante envío de un correo electrónico a la cuenta personal del reclamante desde la dirección ***EMAIL.2. Es más, ese mismo día, el 21 de noviembre de 2023, según señala A.A.A. en su reclamación, la delegación de INTEGRAL en Álava habría contactado con él, vía telefónica, desde el teléfono ***TELÉFONO.2 a su número personal (***TELÉFONO.3), avisándole de que le habían enviado varios correos electrónicos pidiéndole el número del DNI y del TPI en vigor, pero que él no había contestado. Es en este momento, según indica, en el que el reclamante habría manifestado a INTEGRAL que mediante un escrito ya había comunicado a la empresa anterior, el 11 de diciembre de 2019, su no autorización a recibir comunicaciones labores por diferentes vías, recordándoles además en que estaba de baja laboral. No obstante, al día siguiente, el 22 de noviembre, el reclamante habría vuelto a recibir un correo electrónico del Departamento de Administración de INTEGRAL, desde la dirección ***EMAIL.3, a su cuenta personal. Se trataría de un correo electrónico a efectos informativos en el que se le hace partícipe al reclamante del desarrollo del plan de igualdad de INTEGRAL invitándole a que se implicara en el proceso mediante la cumplimentación de un cuestionario adjunto al email. Finalmente, el 23 de noviembre de 2024, desde la dirección electrónica ***EMAIL.2, el Departamento de Administración se habría dirigido al reclamante, informándole de que no les consta “ningún documento de desconexión digital”, asegurando que la empresa subrogada no les transfirió ni este documento, ni el DNI, ni el TIP en vigor, rogándole, en consecuencia, que les remitiera lo requerido en los anteriores emails. Cabe resaltar que INTEGRAL, en este último email, habría advertido al reclamante además que, si no remitía la información solicitada en anteriores correos electrónicos, a saber, el DNI y el TIP en vigor, seguiría enviándole correos electrónicos. El texto de este correo es el siguiente: “Me informan que no hay ningún documento de desconexión digital, la anterior empresa no lo entregó igualmente que tu dni y tip que tampoco lo tenemos actualizado en vigor, por favor volver a enviar los documentos de lo contrario se seguirán enviando correos de notificaciones”. El reclamante detalla, además, (…). Junto al escrito, se aporta, entre otros:

  1. a)Escaneado del DNI del reclamante.
  2. b)Copias de los correos electrónicos remitidos por el Departamento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/18 Administración de INTEGRAL al reclamante en las fechas de 3, 6 y 11 de octubre de 2023, y en las fechas de 21 y 23 de noviembre de 2023. A.A.A. los ha remitido en formato de “forwarded message” o mensaje reenviado a su email personal, evidenciándose así que solo los emails del 11 de octubre de 2023, y el del 23 de noviembre de 2023 fueron enviados mostrando de manera explícita la dirección personal del reclamante. En el resto de los correos electrónicos no aparecería de modo explícito la dirección electrónica de A.A.A., aunque sí le fueron enviados.
  3. c)(…) del reclamante, con fecha de 2 de enero de 2023.
  4. e)Escrito, de 11 de diciembre de 2019, del reclamante a la empresa ***EMPRESA.1, en el que señala que: “que mediante este escrito vengo a solicitar que a partir de hoy tanto en mi teléfono móvil y fijo particular, como mi WhatsApp particular y mi correo electrónico personal y particular. No autorizo por protección de datos a cualquier tipo de comunicación laboral, por lo cual les solicito y les ruego por favor que las comunicaciones me las notifiquen a mi puesto de trabajo o por los medios legales establecidos.” Por otra parte, en el documento aparece la siguiente información: nombre, apellidos y DNI del reclamante; su profesión: “empleado de la empresa ***EMPRESA.1 con la categoría profesional de vigilante de seguridad”; con las firmas del reclamante, de un testigo B.B.B., y una firma cuyo autor se desconoce, pero cuenta con timbre de la empresa citada.
  5. f)Captura de pantalla de la información publicada en internet de la empresa ***EMPRESA.1. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a INTEGRAL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 13 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. No se recibió respuesta a este escrito de traslado. TERCERO: Con fecha 3 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/18 En respuesta a requerimiento de esta Agencia, el 17 de septiembre de 2024 INTEGRAL presentó un escrito en el que manifestaba:
  6. a)Sobre la no autorización del reclamante al uso de sus datos de contacto personales con fines laborales: -INTEGRAL manifiesta desconocer este documento, argumentando que: *En fecha de la firma del documento, el año 2019, el reclamante no era empleado de INTEGRAL, sino de ***EMPRESA.1. * El reclamante nunca prestó servicios efectivos a INTEGRAL en la medida que, si bien fue dado de alta por esta empresa el 1 de enero de 2023, una vez que la reclamada subrogó a ***EMPRESA.1., antigua empleadora del reclamante, éste permaneció en (…), día en que finalizó la relación laboral entre A.A.A. y la reclamada, (…). -Al objeto de fundamentar lo antedicho, INTEGRAL aporta el IDC (Informe de datos para la cotización) de A.A.A. emitido por la Tesorería General de la Seguridad Social el 17 de abril de 2024, a instancia de INTEGRAL, el día posterior a la finalización de la relación laboral, y en el que se puede observar la siguiente información: *Nombre, apellidos, y número de DNI y de la Seguridad Social del reclamante en la casilla de “datos identificativos del trabajador”. *Fecha de inicio del contrato: el 29 de octubre de 2022. *Alta en la empresa INTEGRAL: el día 1 de enero de 2023. *Suspensión de contrato de trabajo (…) en el periodo que abarca desde el 2 de enero de 2023 al 9 de abril de 2024. *Fecha fin del contrato el día 9 de abril de 2024, (…). *Código 100 de contrato de trabajo: Indefinido a tiempo completo ordinario. *En el apartado de “datos identificativos de la empresa”: aparece como “razón social”: INTEGRAL y como “actividad económica” el código 8010, correspondiente a “actividades de seguridad privada”.
  7. b)Sobre los seis correos electrónicos remitidos por INTEGRAL y la llamada al reclamante, cabe señalar que: -INTEGRAL no niega su realización. -En cuatro de los seis correos electrónicos, INTREGRAL solicita al reclamante el número del DNI y del TIP en vigor porque era estos datos eran necesarios para que éste pudiera “prestar servicios como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/18 vigilante de seguridad”. Y los motivos que aduce INTEGRAL para haberse visto compelido a pedirle esta información son los siguientes: *De conformidad con el artículo 17.2.g del Convenio Colectivo Estatal de empresas de seguridad, la empresa subrogada, a saber, ***EMPRESA.1, tendría que haber facilitado entre otra documentación, a INTEGRAL, la empresa subrogante, en el momento de la subrogación, al menos la siguiente documentación: “Copias de la Cartilla Profesional, Tarjeta de Identidad Profesional, y, en su caso, Licencia de Armas”. No obstante, cuando se produjo la subrogación, y debido, según INTEGRAL, a que la empresa subrogada “estaba inmersa en diversos problemas que provocaron que desde septiembre de 2022 dejara de abonar los salarios a todos los trabajadores de su plantilla”, ***EMPRESA.1., ésta finalmente “no facilitó documentación alguna (…) de este trabajador ni de ningún otro”. *La carencia de esta documentación por parte de INTEGRAL hacía que la empresa subrogante no cumpliera con la Ley de Seguridad Privada que obliga a “verificar que el TIP profesional se encuentra vigente” dado que, “el artículo 51.1.
  8. b)de la Ley de seguridad privada que tipifica como infracción muy grave en la que pueden incurrir las empresas de seguridad privada por la contratación o utilización, en servicios de seguridad privada, de personas que carezcan de habilitación o acreditación correspondiente”. *Además, arguye el reclamado, que A.A.A. “es Vigilante de Seguridad” y que, por tanto, le “(…) es obligatorio disponer del TIP profesional conforme a lo establecido en el artículo 27 de la Ley 5/2014, de 4 de abril, de Seguridad Privada”. -En lo que atañe a los dos correos electrónicos restantes, INTEGRAL manifiesta que “son emails genéricos que se han remitido a todos los trabajadores de la empresa”, referido uno a un reconocimiento médico y el segundo, a la participación en el desarrollo del Plan de Igualdad. -Estos argumentos alegados para justificar la puesta en contacto de INTEGRAL con el reclamante conducen a concluir a la reclamada, en su escrito, que no concurrió “ninguna mala fe” por su parte en el envío de estos correos a A.A.A. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/18 INTEGRAL es una empresa constituida en el año 2007, y con un volumen de negocios de 16.397.950 € en el año 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  9. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/18 física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, la reclamada habría realizado un tratamiento de datos personales del reclamante, toda vez que estos datos, a saber, número de teléfono, y dirección electrónica serían susceptibles de identificarlo. En cuanto al tratamiento de datos personales, y de conformidad con lo regulado en el artículo 4.2 del RGPD, constaría la realización de un tratamiento de datos personales, toda vez que INTEGRAL habría realizado, entre otros tratamientos, la utilización de la dirección electrónica de A.A.A. y teléfono de contacto personal. Resulta pertinente destacar además que la utilización de los datos citados por parte de la reclamada sería manifiesta y evidente en los correos electrónicos aportados por el reclamante, y no negados, sino reconocidos por INTEGRAL. Por último. a la luz del relato fáctico expuesto y en virtud de la letra del artículo 4.7 del RGPD, la reclamada habría sido el responsable del tratamiento en tanto es quien habría determinado los fines y medios del tratamiento de los datos personales del reclamante. INTEGRAL habría tratado de obtener el número del DNI y del TIP en vigor del reclamante, y para ello, se sirvió del envío de correos electrónicos desde el Departamento de Administración de INTEGRAL a la dirección electrónica personal del reclamante, así como del teléfono personal para la realización de un contacto telefónico con el mismo fin. De cuanto se ha expuesto, se podría concluir que los hechos puestos en conocimiento a la Agencia Española de Protección de Datos por el reclamante se enmarcan en el concepto de tratamiento de datos personales, y que INTEGRAL, en tanto responsable del tratamiento, habría estado obligado al cumplimiento del RGPD y a la LOPDDD en general. IV Obligación incumplida. Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/18 El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " Y el considerando 40 de la RGPD, dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En el presente caso, de acuerdo con lo anteriormente señalado, el tratamiento de datos de carácter personal requeriría de la existencia de una base legal que lo legitimara, y por tanto, precisaría de la concurrencia de, al menos, una base de licitud de las enunciadas en el artículo 6.1 del RGPD. De este modo, en caso de ausencia de alguna de las bases legales previstas en la normativa expuesta, se entenderá que se habría producido una conculcación del RGPD. Detallado el marco normativo del artículo 6 del RGPD, y teniendo en cuenta los documentos obrantes en el expediente, el caso que nos ocupa habría consistido en la remisión, por parte de INTEGRAL, en el periodo que va desde el 3 de octubre al 23 de noviembre de 2023, de seis correos al reclamante, a su dirección electrónica personal, y de la realización de una llamada de teléfono, también a su número personal. INTEGRAL no ha negado los contactos realizados. Sea como fuere el contenido del mensaje, en todas estas comunicaciones laborales, el reclamado habría tratado datos personales de A.A.A., como son el teléfono y dirección electrónica personales, a fin lograr la transmisión de su petición al reclamante, y ello C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/18 sin contar con el consentimiento del reclamante en los términos exigidos del artículo 4.11 del RGPD, como base habilitadora para su tratamiento. La reclamada, durante la fase previa de investigación, no ha demostrado tener este consentimiento expreso del reclamante ni ninguna otra base de legitimación para poder tratar los datos personales del reclamante indicados. El artículo 4.11 del RGPD conceptúa el consentimiento en el tratamiento de datos personales como: “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. A esto, cabe añadir el Considerando 32 del RGPD al indicar que “el consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta”. Y, además, consta que en 2019 el reclamante manifestó su oposición al uso de sus datos personales con fines laborales ante la entidad ***EMPRESA.1, entidad que fue sustituida por INTEGRAL como empleadora del reclamante. Documento que refuerza aún más si cabe la ausencia de consentimiento, y, por ende, de base habilitadora, para que su empleadora trate sus datos personales. INTEGRAL ha manifestado que el indicado escrito en el que el reclamante manifestó su oposición al uso de sus datos personales de contacto no le fue facilitado por ***EMPRESA.1. Sin embargo, esta circunstancia, en sí misma considerada, no implica que la propia INTEGRAL estuviese habilitada para el uso de aquellos datos. En función de lo expuesto, existen indicios de que INTEGRAL no habría contado con la base habilitadora del artículo 6.1.
  17. a)del RGPD para el tratamiento de los datos personales del reclamante objeto de la reclamación. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a INTEGRAL, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/18 El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  19. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  20. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  21. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  22. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  23. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  24. a)a
  25. h)y j). Al decidir la imposición de una multa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/18 administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  26. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  27. b)la intencionalidad o negligencia en la infracción;
  28. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  29. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  30. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  31. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  32. g)las categorías de los datos de carácter personal afectados por la infracción;
  33. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  34. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  35. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  36. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  37. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  38. a)El carácter continuado de la infracción.
  39. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  40. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  41. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  42. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  43. f)La afectación a los derechos de los menores.
  44. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  45. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/18 En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en el afectado, correspondería la imposición de multa, además de la adopción de medidas, si procede. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa por la infracción imputada debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza, al estar tipificada en el artículo 83.5 del RGPD, y el nivel de gravedad de la infracción en cada caso concreto de acuerdo con el artículo 83.2
  46. a)y b). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de 16.397.950 € en el año 2024. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de 16.397.950 es de 655.918 euros. Conforme a lo anterior, la sanción que se imponga para cada una de las infracciones habrá de estar forzosamente entre los 0 y 20.000.000 de euros. A efectos de determinar el nivel de gravedad en los términos del RGPD, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): se tiene en cuenta que la infracción afecta a un único interesado. • Negligencia en la infracción (artículo 83.2, letra b), del RGPD): en tanto que el reclamante sí puso en conocimiento a INTEGRAL su no consentimiento a que trataran sus datos personales para contactar con él, con ocasión de la llamada que recibió y, a pesar de ello, INTEGRAL continuó remitiendo comunicaciones (nuevo correo electrónico de fecha 23/11/2024). • Las categorías de datos personales afectados por la infracción (artículo 83.2.
  47. g)del RGPD): los datos personales del reclamante sometidos a tratamiento (dirección de correo electrónico y número de teléfono) son datos de contacto de naturaleza básica. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar inicialmente una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/18 sanción de multa administrativa de 5.000,00 euros. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 6.1 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  48. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a INTEGRAL para que, en el plazo máximo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: -Acreditar el establecimiento de medidas organizativas en la empresa a fin de evitar el tratamiento de los datos de contacto personales de sus empleados con fines laborales sin disponer de una base jurídica que lo legitime. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/18 adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a INTEGRAL DE VIGILANCIA Y CONTROL, S.L., con NIF B95486338, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR instructora a R.R.R., y secretaria a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  49. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 5.000,00 euros, sin perjuicio de lo que resulte de la instrucción, y la imposición de las correspondientes medidas correctivas. QUINTO: NOTIFICAR el presente acuerdo a INTEGRAL DE VIGILANCIA Y CONTROL, S.L., con NIF B95486338, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/18 en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.000,00 euros o 3.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-010725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 1 de diciembre de 2025, INTEGRAL ha procedido al pago de la sanción en la cuantía de 3.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  50. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/18 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/18 de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 3.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, INTEGRAL ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 5.000,00 euros. Tras haber procedido INTEGRAL DE VIGILANCIA Y CONTROL, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 3.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202402042, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a INTEGRAL DE VIGILANCIA Y CONTROL, S.L. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a INTEGRAL DE VIGILANCIA Y CONTROL, S.L.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/18 QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  51. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  52. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.