← España

PS-00478-2023

1/12  Expediente N.º: EXP202315427 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTESPRIMERO. A.A.A (en adelante, la parte reclamante) con fecha 4 de julio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra PROSULTING, S.L.N.E. con NIF B86008141 (en adelante, PROSULTING). Los motivos en que basa la reclamación son los siguientes: El 7 de febrero de 2023, la parte reclamante envía un correo electrónico a atencioncliente@prosulting.es (PROSULTING) por recomendación de un compañero suyo del trabajo, delegado sindical. El objetivo es obtener una beca de formación para el curso de Director de Seguridad, así como para el curso de hacking informático. Encarga a PROSULTING, la gestión de la subvención y solicita una plaza para los cursos indicados. En anexo aporta la parte reclamante la siguiente documentación:

  1. El formulario firmado, para la “Convocatoria para Concesión de Subvenciones Públicas para la Ejecución de Programas de Formación de Ámbito Estatal, Dirigidos prioritariamente a las Personas Ocupadas “
  2. Copia de su DNI.
  3. Encabezamiento de su nómina. Posteriormente hay una serie de mensajes en que PROSULTING informa reiteradamente a la parte reclamante de plazos, requisitos y documentos necesarios para acceder al curso subvencionado por el SEPE, instando a la reclamante a tener preparada la documentación para el momento oportuno. En su correo de 12/04/23 PROSULTING, ante la imposibilidad inicial de ofrecer el curso gratuito que subvenciona el SEPE al 100%, ofrece su curso propio con un descuento del 40% sobre el precio oficial, para aquellos participantes que no reúnen los requisitos del reglamento. Finalmente, mediante correo de 27 de junio de 2023 solicita PROSULTING a la parte reclamante justamente la misma documentación ya remitida por la misma el 7 de febrero de
  4. La reclamante contesta a PROSULTING mediante correo electrónico de 2 de julio de 2023 a atencion-cliente@prosulting.es, acusándole del incumplimiento de la RGPD, por no informar adecuadamente sobre el tratamiento de datos, ni sobre el responsable del tratamiento de los datos, así como de la insistencia y reiteración informativa para recabar los documentos necesarios para tramitar su solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Señala además que, dado que la empresa reclamada no le ofrece garantías suficientes, ha solicitado mediante correo electrónico información sobre el tratamiento de sus datos, destinatarios, y manifiesta a su vez su oposición a la cesión de sus datos para la tramitación de la beca del SEPE, sin haber obtenido a la fecha de presentación ante la AEPD de la reclamación (04/07/2023) contestación al respecto. La reclamante afirma que aportó la documentación a PROSULTING, el 7 de febrero de 2023, sin comprobación previa alguna por su parte y continuó durante meses el intercambio de mensajes con PROSULTING, en la creencia errónea de que el curso en cuestión se gestionaba por el Comité de Empresa de la entidad en la que trabaja. Aporta hilo de correos intercambiados con la entidad reclamada. En ninguno de los correos remitidos a la parte reclamante para requerirle documentación, se incluía información en materia de protección de datos personales. SEGUNDO: Se incorpora diligencia previa de la AEPD de 9 de julio de 2023, con 15 páginas de extractos de pantalla, de la Política de Privacidad del sitio web oficial de PROSULTING, prosulting.org. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a PROSULTING, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19/09/2023 como consta en el acuse de recibo que obra en el expediente. CUARTO: Con fecha 4 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 13/10/2023 se recibe en esta Agencia escrito de respuesta de PROSULTING declarando su total incomprensión por tal reclamación, dado que la parte reclamante ya está participando en una de las formaciones en cuestión y estaría dispuesta incluso a retirar dicha reclamación, si se le requiere. Informa PROSULTING de que es una entidad educativa que colabora entre otros, con el SEPE (Dirección General del Servicio Público de Empleo Estatal). Afirma además que PROSULTING garantiza la seguridad y protección de los datos de sus alumnos o posibles alumnos según la normativa vigente, por lo que consideran que no se ha vulnerado en ningún caso la protección de los datos personales de la reclamante, ni de nadie en general. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad PROSULTING, S.L.N.E. es una empresa pequeña, constituida en el año 2010, y con un volumen de negocios de 167.000€ euros en
  5. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 SÉPTIMO: Con fecha 17/04/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. OCTAVO: PROSULTING no ha presentado alegaciones al acuerdo de inicio, pero el 30/04/2024 se ha recibido en la AEPD el pago voluntario de 800€, pero sin especificar, como es preceptivo, la causa de la reducción del importe del 20% a la que se acoge por pago voluntario en cualquier momento anterior a la finalización del procedimiento. NOVENO: Se les remitió un primer escrito el 30/05/2024 (con acuse de recibo 31/05/2024) para que, en el plazo de diez días, procediera a aportar la renuncia a la vía administrativa preceptiva para la reducción del importe del 20% de la multa y que además aclarara a cuál de las dos posibles reducciones se acogía. DÉCIMO: Ante la ausencia de contestación por parte de PROSULTING, nuevamente se reiteró el 27/06/2024 reiterando la necesidad de la subsanación de la causa de la reducción del importe del 20%, un nuevo plazo de diez días desde el acuse de recibo 08/07/202, advirtiendo de que, si transcurrido dicho plazo, PROSULTING S.L.N.E. no presentara manifestación alguna al respecto, el procedimiento deberá continuar, sin que se pueda aplicar la reducción solicitada. UNDÉCIMO: Con fecha 11/09/2024 se formuló propuesta de resolución, proponiendo que se sancione a PROSULTING, S.L.N.E., con NIF B86008141, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 1.000€ (mil euros) y también en el plazo de UN MES, acredite haber procedido al cumplimiento los mecanismos que garanticen el suministro la información prevista para los interesados en el artículo 13 del RGPD también en el momento de la obtención de sus datos personales mediante correo electrónico. También se propone que por la AEPD se proceda al reembolso de los 800€ a la cuenta bancaria de PROSULTING, al resultar el pago inválido, por no especificarse el motivo al que se acoge para la reducción de la multa. DUODÉCIMO: El 12/09/2024 se remitió a PROSULTING un nuevo escrito, con acuse de recibo de 17/09/2024, solicitando el número de cuenta de la empresa para poder proceder al reembolso de los 800€ transferidos. DÉCIMOTERCERO: Hasta la fecha PROSULTING no ha especificado la causa de la reducción del importe del 20% a la que se acoge (bien reconocimiento de responsabilidad o terminación del procedimiento), como es preceptivo y tampoco ha presentado alegaciones a la propuesta de resolución, ni ha facilitado el número de cuenta solicitado para poder proceder al reembolso. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 HECHOS PROBADOS PRIMERO: El 7 de febrero de 2023, la parte reclamante envía un correo electrónico a atencion-cliente@prosulting.es (PROSULTING) por recomendación de un compañero suyo del trabajo, delegado sindical, de quien ha recibido la dirección de correo electrónico, así como la información. El objetivo es obtener una beca de formación para el curso de Director de Seguridad, así como para el curso de hacking informático. Encarga a PROSULTING, la gestión de la subvención y solicita una plaza para los cursos indicados. En anexo aporta la reclamante la siguiente documentación:
  6. El formulario firmado, para la “Convocatoria para Concesión de Subvenciones Públicas para la Ejecución de Programas de Formación de Ámbito Estatal, Dirigidos prioritariamente a las Personas Ocupadas “
  7. Copia de su DNI.
  8. Encabezamiento de la nómina. SEGUNDO: Posteriormente hay una serie de mensajes en que PROSULTING informa reiteradamente a la parte reclamante de plazos, requisitos y documentos necesarios para acceder al curso subvencionado por el SEPE, instando a la reclamante a tener preparada la documentación para el momento oportuno. TERCERO: En su correo de 12/04/23 PROSULTING, ante la imposibilidad inicial de ofrecer el curso gratuito que subvenciona el SEPE al 100%, ofrece su curso propio con un descuento del 40% sobre el precio oficial, para aquellos participantes que no reúnen los requisitos del reglamento. CUARTO: Finalmente, mediante correo de 27 de junio de 2023 solicita PROSULTING a la reclamante justamente la misma documentación ya remitida por la misma el 7 de febrero de
  9. QUINTO: En ninguna de las comunicaciones dirigidas a la parte reclamante, se informaba sobre los extremos que exige el art 13 en relación con la protección de datos personales. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las personas físicas. El artículo 4.1 del RGPD entiende por “datos personales”: “toda información sobre una persona física identificada o identificable” («el interesado»); El artículo 4.2 del RGPD define el “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” PROSULTING, en su condición de entidad educativa, recaba datos personales a través de los formularios de contacto y de suscripción disponibles en la página web, así como a través de correos electrónicos. Sin perjuicio de que PROSULTING informe también en sus correos a la parte reclamante de las subvenciones y cursos del SEPE, el contenido principal de la información remitida es la promoción de sus cursos propios con un 40% de descuento sobre el precio inicial. Por esta razón, parece claro que PROSULTING es el responsable del tratamiento de datos personales, al determinar los fines y medios del tratamiento de los datos personales, de conformidad con el artículo 4.7 del RGPD. El artículo 13 del RGPD determina la información a facilitar por parte del responsable cuando obtenga los datos personales directamente del interesado: “
  10. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
  11. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos; f) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
  12. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.” “
  13. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” La obligación de informar al interesado de los aspectos previstos en el artículo 13 del RGPD debería haber tenido lugar tan pronto como la parte reclamada comunicó con la parte reclamante, en el primer correo enviado, con excepción de aquellos aspectos que ya conozca con anterioridad, tal y como determina en el apartado 13.
  14. del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 La parte reclamante remite, a iniciativa propia, una solicitud firmada con la documentación identificativa necesaria a PROSULTING, para que tramite en su nombre una subvención del SEPE y para la participación en el curso de formación de Director de Seguridad, impartido por PROSULTING. PROSULTING facilita, por su parte, a la parte reclamante información de modo reiterado sobre el estado el procedimiento de concesión de la subvención del SEPE, en varios correos posteriores entre febrero y junio de 2023, pero el objeto principal de las comunicaciones remitidas sigue siendo, en primera instancia, promocionar sus propios cursos. Pero la parte reclamante, en el escrito presentado ante la AEPD el 04/07/2023, afirma que “en ningún momento he sido informada de quién se hace responsable de los datos, a quién puedo dirigirme y sobre cuáles son los datos identificativos de la empresa”. Afirma también que: “Solo dispongo de un enlace web de una empresa sin actividad en la web desde 2022 ". En la diligencia previa de 9/07/2023, la AEPD, utilizando como criterio de búsqueda en Google la dirección de correo electrónico utilizada por la reclamante (“atencioncliente@prosulting”), aparece en tercer lugar lo siguiente: “Prosulting https://www.prosulting.org- política-de-privacidad-2 Política de privacidad- Cursos online … prosulting.org. y cuyo correo electrónico de contacto es rgpd@prosulting.org de atención al cliente. Datos solicitados en el sitio web y finalidad del …” No obstante, con fecha 18/09/2023, la AEPD comprobó que efectivamente la web de la parte reclamada, “prosulting.org”, no se encuentra operativa. El Considerando 58 del RGPD prevé la posibilidad facilitar la información necesaria a través de un sitio web: “

(58)El principio de transparencia exige que toda información dirigida al público o al interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante un sitio web (...)” Aunque la Política de Privacidad de su sitio web, https://www.prosulting.org, detalla la información requerida por el artículo 13 de la RGPD, no aparece referencia alguna ni a la página web, ni información en los correos electrónicos aportados, que permita a la parte reclamante consultar y asegurarse del cumplimiento del RGPD, y, en particular, de la totalidad de la información prevista por su artículo 13, cuando se recaban datos del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 En todo caso, no cabe admitir que el interesado tenga que realizar ninguna búsqueda, como la realizada por esta AEPD, para acceder a la política de privacidad de PROSULTING. III Tipificación de la infracción del artículo 13 del RGPD De conformidad con las pruebas aportadas, se confirma la citada infracción del artículo 13 del RGPD, que supone la comisión de la infracción tipificada en el artículo 83.5.
  1. b)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  2. a)(...)
  3. b)Los derechos de los interesados a tenor de los artículos 12 a 22;” A los meros efectos de prescripción, el artículo 72.1
  4. h)de la LOPDGDD califica de muy grave “La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. El plazo de prescripción de las infracciones muy graves previsto en la Ley Orgánica 3/2018 es de tres años. IV Sanción por la infracción del artículo 13 del RGPD Los poderes correctivos de los que dispone la Agencia Española de Protección de datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
  5. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. En el presente caso, atendiendo a los hechos expuestos, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer, se han de observar las previsiones del artículo 83.2 del RGPD, para la adecuada gradación de la responsabilidad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  6. a)a
  7. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  8. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  9. b)la intencionalidad o negligencia en la infracción;
  10. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  11. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  12. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  13. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  14. g)las categorías de los datos de carácter personal afectados por la infracción;
  15. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  16. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  17. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  18. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” El balance de las circunstancias contempladas permite fijar una multa de 1.000,00€ (mil euros) por la infracción del artículo 13 del RGPD. El 30/04/2024 se ha recibido en la AEPD un ingreso bancario de PROSULTING de pago voluntario por 800€, pero sin especificar la causa de la reducción del importe del 20% a la que se acoge (bien reconocimiento de responsabilidad o terminación del procedimiento), como es preceptivo, ni el desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 A pesar de tres diligencias solicitando aclaración al respecto y la propuesta de sanción no se ha recibido escrito de subsanación ni aclaración, por lo que el pago no se considera válido. El artículo 85 de la LPCAP establece lo siguiente (se subraya la parte relevante al caso: “Artículo 85. Terminación en los procedimientos sancionadores. 1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” Ante la ausencia de las aclaraciones requeridas sobre el pago y la reducción de la sanción, procede el mantenimiento de la cuantía íntegra inicial de la multa administrativa de 1.000,00€ (mil euros). V Adopción de medidas Se acuerda la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  19. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 En concreto, se ordena al responsable que en el plazo de UN MES incorpore los mecanismos que garanticen el suministro la información prevista para los interesados en el artículo 13 del RGPD, en el momento de la obtención de sus datos personales, también en el momento de la obtención o solicitud de sus datos personales mediante correo electrónico. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a PROSULTING, S.L.N.E., con NIF B86008141, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de mil euros (1.000€). SEGUNDO: Ordenar la devolución a PROSULTING, S.L.N.E. de la cantidad de 800€ que abonó el 30/04/2024, con ocasión de la apertura del presente procedimiento sancionador. Para que dicha devolución de cantidad puede llevarse a efecto, PROSULTING, S.L.N.E. deberá facilitar a esta AEPD, sin dilación indebida, el código de la cuenta bancaria en la que podrá realizarse el ingreso de esa cantidad a su favor. TERCERO. ORDENAR a PROSULTING, S.L.N.E., con NIF B86008141, que en virtud del artículo 58.2.
  20. d)del RGPD, en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento del suministro la información prevista para los interesados en el artículo 13 del RGPD, en el momento de la obtención o solicitud de sus datos personales, también mediante correo electrónico. CUARTO: NOTIFICAR la presente resolución a PROSULTING, S.L.N.E.. QUINTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta por importe de 1.000 euros, una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  21. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.