← España

PS-00495-2024

1/23  Expediente N.º: EXP202415922 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 2 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TRIVE CREDIT SPAIN, S.L. (en adelante, TRIVE). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 29 de mayo de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente n.º: EXP202415922 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 12 de marzo de 2024 por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento de ejercicio de derechos del expediente número EXP202315972 seguido contra TRIVE CREDIT SPAIN, S.L. (en adelante, TRIVE). En dicho procedimiento consta que la parte reclamante ejerció derecho de acceso de los datos personales que le conciernen, sin que dicha solicitud resultara debidamente atendida, dictándose resolución en la que se requería lo siguiente: “PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar al TRIVE CREDIT SPAIN, S.L., con NIF B87258091, para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de Acceso ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/23 como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.

  1. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD.” SEGUNDO: La notificación de la resolución del procedimiento de ejercicio de derechos, en la que se concedía a TRIVE el plazo de diez días hábiles para la atención del ejercicio del derecho de acceso, se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), siendo recogida por el responsable con fecha 12 de marzo de 2024. TERCERO: Tras el transcurso del plazo indicado para que se realizaran las actuaciones requeridas en dicha resolución y habiendo presentado la parte reclamante, con fecha 19 de julio de 2024 y número de registro de entrada REGAGE24e00055044978, escrito en el que manifestaba que la resolución no se había cumplido, se remitió por dos veces a TRIVE un requerimiento para que, en el plazo de cinco días hábiles, remitiera a la parte reclamante certificación del cumplimiento de dicha resolución y, en el plazo de diez días hábiles, notificara a esta Agencia las medidas adoptadas. CUARTO: El referido requerimiento de información se notificó en ambas ocasiones conforme a las normas establecidas en la LPACAP y fue recogido por TRIVE con fechas 23 de agosto y el 1 de octubre de 2024, como consta en los acuses de recibo que obran en el expediente. QUINTO: Transcurrido el plazo de la resolución inicial y de los sucesivos requerimientos, TRIVE no ha remitido respuesta a esta Agencia que acredite que ha atendido el derecho de acceso ejercido o que lo ha denegado motivadamente indicando las causas por las que no procede atender la petición. SEXTO: Contra la citada resolución no cabe ningún recurso ordinario en vía administrativa por el transcurso de los plazos establecidos para ello. Asimismo, el interesado no ha manifestado su intención de interponer recurso contenciosoadministrativo, ni esta Agencia tiene constancia de que el mismo se haya interpuesto y se haya solicitado suspensión cautelar de la resolución. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TRIVE CREDIT SPAIN, S.L. es una gran empresa constituida en el año 2015 y con un volumen de negocios de 102.729.479 euros en el año 2022. OCTAVO: Con fecha 2 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TRIVE, por la presunta infracción del Artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el Artículo 83.6 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/23 NOVENO: El citado acuerdo de inicio fue notificado a TRIVE, conforme a las normas establecidas en la LPACAP, con fecha 3 de diciembre de 2024, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: Con fecha 18 de diciembre de 2024 y número de registro de entrada REGAGE24e00094613605, TRIVE presenta escrito de alegaciones al acuerdo de inicio en el que manifiesta lo siguiente. TRIVE alega que, en lo que respecta a la protección de datos, tiene un delegado de protección de datos, y tiene contratada a la firma ***EMPRESA.1, “de la que se ayuda para realizar actuaciones de auditoría general y soporte, tales como la recepción de las notificaciones realizadas por cualquier organismo de consumo o entidad gubernamental, estatal o regional” y “ha implementado los siguientes protocolos y procedimientos para tratar de asegurar el cumplimiento de la normativa en materia de protección de datos: (
  2. i)‘Data Breach Procedure’, (
  3. ii)‘Data Subjects’ Rights Management Procedure’, (iii) ‘Privacy Procedure’, y (
  4. iv)‘Standard Contractual Clauses to Ensure Compliance with GDPR’.” TRIVE señala que “Como acreditan las últimas cuentas anuales de 2023 de Trive, auditadas por ***EMPRESA.2, el negocio de mi mandante ha bajado en comparación con el ejercicio de 2022. En 2023 el importe neto de la cifra de negocio se ha reducido hasta los 96.785.401,35 € y el resultado del ejercicio ha disminuido desde los 10.025.095 € de 2022 hasta 1.122.703,85 € en 2023”. TRIVE afirma que “El Reclamante es un antiguo cliente de Trive, que ha iniciado una batalla judicial contra mi representada. La reclamación formulada ante la AEPD de la que trae causa este expediente forma parte de su estrategia de confrontación, que se ha materializado en dos demandas judiciales, 80 llamadas telefónicas y al menos dos reclamaciones ante la AEPD. Todo ello, como reconoce el Reclamante, “debidamente asesorado” y con el propósito de perjudicar a Trive. (…) Con fecha 28 de enero de 2023, A.A.A. ejercitó el derecho de supresión «de sus datos en mykredit, como el cierre de la cuenta de manera indefinida». Trive tramitó dicho ejercicio de derecho con fecha 8 de febrero de 2023, procediendo al bloqueo de sus datos en cumplimiento del artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (“LOPDPGDD”). De esa fecha en adelante todos los datos no bloqueados tratados por Trive se refieren, en esencia y principalmente, a datos facilitados por el propio Reclamante a través de las llamadas telefónicas efectuadas por el mismo.” TRIVE se refiere a un “abuso de derecho de A.A.A.”. “Tras la formalización del último de los Préstamos, el Reclamante comenzó a solicitar a mi representada la declaración de nulidad de los Préstamos, lo que, en última instancia y en lo que interesa, desembocó en la presentación de dos demandas judiciales en 2023, que han dado lugar a los procedimientos ordinarios ***PROCEDIMIENTO.1 y ***PROCEDIMIENTO.2, actualmente en curso (los “Procedimientos Judiciales”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/23 Simultáneamente, el Reclamante comenzó a realizar llamadas telefónicas y a ejercitar derechos de acceso frente a Trive.” TRIVE dice que “En lo que respecta a los derechos de acceso ejercitados por el Reclamante, solo en 2023 se realizaron hasta tres peticiones que fueron debidamente respondidas por Trive (al mismo tiempo que se sucedían las llamadas en las que los operadores de Trive recordaban al A.A.A. que había solicitado su derecho de supresión en enero de 2023). En lo referente al derecho de acceso de 10 de agosto de 2023 (base de la reclamación de A.A.A. que origina este expediente), lo cierto es que esa petición también fue respondida. En efecto, como evidencian los emails aportados, lo que verdaderamente ocurrió es lo siguiente: Escasos días antes, el 24 de julio de 2023, el Reclamante solicitó copia de los Préstamos. Y esa documentación se le aportó hasta en dos ocasiones, la última el 10 de agosto de 2023 a las 16:09 (todo ello, naturalmente, teniendo en consideración que antes, el 28 de enero de 2023, había ejercido su derecho de supresión, lo que no se podía ignorar). Y lo que hizo en ese momento A.A.A. fue enviar un nuevo correo electrónico el mismo el 10 de agosto de 2023, pero tan solo 4 minutos después (a las 16:13) y en una cadena de emails diferente, en la que solicitaba una vez más exactamente lo mismo (i.e., lo ya pedido y concedido). Los días siguientes se intercambiaron emails, siempre sobre la primera cadena, en la que se explicaba al Reclamante que se le habían proporcionado todos los Préstamos disponibles. Según parece, A.A.A. solo habría hecho referencia en su reclamación a uno de esos e-mails de 10 de agosto de 2023, sin mencionar todo el resto de hechos que ocurrieron.” TRIVE alude a la “confusión generada por dos procedimientos prácticamente idénticos”. Al respecto, TRIVE dice que “Como consta en el expediente, mientras se cursan los Procedimientos Judiciales, A.A.A. interpuso el 19 de septiembre de 2023 su reclamación ante la AEPD”, la cual “originó el presente procedimiento sancionador N.º 202315972 (el “Procedimiento 1.0”). Con independencia del Procedimiento 1.0, y hasta donde conoce esta parte, el Reclamante presentó al menos una reclamación más ante la AEPD, el 19 de julio de 2024. En esa ocasión el A.A.A. denunció que, en relación con otra de las 80 llamadas efectuadas, su derecho de acceso a los datos tratados por Trive no habría sido atendido, lo que dio lugar a que la AEPD incoara el procedimiento de ejercicio de derechos N.º 202413243 (el “Procedimiento 2.0”). El Procedimiento 1.0 y Procedimiento 2.0 traen causa de ejercicios de derechos muy similares, se refieren al mismo interesado y se han solapado temporalmente. Además, esta Agencia envió requerimientos de información a Trive prácticamente idénticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/23 (…) La similitud entre los procedimientos, su coincidencia temporal, la anómala beligerancia mostrada por A.A.A. y el hecho de que esta fuera la primera ocasión en la que Trive estaba involucrada en un proceso de esta naturaleza en sus casi 10 años de vida societaria, provocó que Trive confundiera ambos casos y pensase — equivocadamente— que solo se estaba tramitando uno. Ahora bien, y esto es ilustrativo, nótese que el caos generado por el A.A.A. no solo confundió a Trive sino que también ha afectado a la propia Agencia. En efecto, en el Acuerdo de Incoación se indica lo siguiente: En su Hecho Tercero se dice que «tras el transcurso del plazo indicado para que se realizaran las actuaciones requeridas en dicha resolución y habiendo presentado la parte reclamante, con fecha 19 de julio de 2024 y número de registro de entrada REGAGE24e00055044978, escrito en el que manifestaba que la resolución no se había cumplido, se remitió por dos veces a Trive un requerimiento». No obstante, el 19 de julio de 2024 fue la fecha en la que A.A.A. presentó la reclamación que provocó el inicio del Procedimiento 2.0, y no este expediente. En su Hecho Cuarto se afirma que «el referido requerimiento de información se notificó en ambas ocasiones conforme a las normas establecidas en la LPACAP y fue recogido por TRIVE con fechas 23 de agosto y el 1 de octubre de 2024, como consta en los acuses de recibo que obran en el expediente». Sin embargo, ninguna notificación del Procedimiento 1.0 se realizó en octubre de 2024. En esa fecha la única notificación que tuvo lugar es la relativa al traslado de reclamación y solicitud de información en el marco del Procedimiento 2.0, que sí fue contestada por Trive. En definitiva, es un hecho objetivo que la actuación del A.A.A. provocó una confusión general, que empujó a Trive en particular a cometer un error involuntario.” En cuanto al Acuerdo de inicio del presente procedimiento sancionador, TRIVE afirma que el mismo “analiza la falta de respuesta por Trive a las resoluciones dictadas en el Procedimiento 1.0 (excluyendo por lo tanto el requerimiento que sí contestó Trive y que es objeto del Procedimiento 2.0).” TRIVE considera que “(
  5. i)la eventual imposición de una sanción no resultaría ajustada a Derecho, y, alternativamente, (
  6. ii)el importe de sanción propuesto no respeta el principio de proporcionalidad”. TRIVE dice que no procede la imposición de ninguna sanción, basándose en la supuestas “ausencia de dolo o culpa en la actuación de Trive” y a la presunta “concurrencia de mala fe y abuso de derecho en la conducta de A.A.A.”. Con mención del artículo 28.1 de la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público, el artículo 83.2.
  7. b)del RGPD, de la Sentencia del Tribunal Supremo de 27 de febrero de 2012 (rec. 747/2009) y de las resoluciones de esta Agencia de los expedientes número PS/00313/2023, PS/00269/2017 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/23 PS/00315/2012, TRIVE concluye que “no concurre en la conducta de Trive la mínima culpabilidad exigible para la imposición de una sanción pues: (
  8. a)La actuación anómala y abusiva descrita originó dos procedimientos ante la AEPD prácticamente idénticos y que se han solapado temporalmente. Este caos generado por A.A.A. provocó en Trive un error involuntario al no contestar a la AEPD. Trive no ha sido consciente hasta el Acuerdo de Incoación de que, realmente, el Procedimiento 1.0 y el Procedimiento 2.0 eran procedimientos que se referían a reclamaciones distintas (aunque, en puridad, son esencialmente iguales). Ello llevó a Trive a la falsa creencia de que con responder a la Agencia a su último requerimiento estaba dando respuesta a todas las reclamaciones de A.A.A.. (
  9. b)El Procedimiento 1.0 y el Procedimiento 2.0 son las únicas reclamaciones en materia de protección de datos dirigidas frente a Trive. (
  10. c)El Procedimiento 1.0 y el Procedimiento 2.0 traen causa de 80 llamadas telefónicas efectuadas por A.A.A., entre julio de 2023 y la fecha de remisión del presente escrito, con el exclusivo objeto de conocer el estado de sus propias reclamaciones, que además son objeto de los Procedimientos Judiciales. Esto es: el propósito de las llamadas es obtener una información de la que ya dispone A.A.A.. (
  11. d)La actuación A.A.A. confirma que la finalidad del Reclamante no es seria ni legítima. De hecho, cuando se le ha facilitado la información solicitada el propio Reclamante reconoció que no tenía ningún interés real sobre lo preguntado telefónicamente. A mayor abundamiento, buena prueba de que no ha existido culpa (mucho menos dolo), es un repaso a los esfuerzos que Trive realiza en materia de protección de datos. (…) Tal y como indicó la propia AEPD en su Resolución de 25 de enero de 2024 (exp. PS/00313/2023), «el Dictamen 3/2010, del Grupo de Trabajo del artículo 29, emitido durante la vigencia de la derogada Directiva 95/46/CEE pero cuyas reflexiones son aplicables en la actualidad, afirma que la esencia de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos». Como se ha puesto de manifiesto en el Procedimiento 2.0, al contestar al requerimiento formulado por la AEPD, Trive ha procedido a emitir directrices internas a sus teleoperadores para modificar sus respuestas ante situaciones similares, formándoles en materia de protección de datos. Esta formación se suma a los protocolos, directrices y guías que existen, y es anterior al Acuerdo de Incoación. Lo expuesto acredita la ausencia de dolo o culpa en la conducta de Trive. Y sin el necesario elemento de culpabilidad no debería poder apreciarse la comisión de una infracción administrativa.” Respecto a la conducta de la parte reclamante, TRIVE recuerda que “la buena fe es un principio general de nuestro derecho que debe guiar la actuación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/23 Administración y, también, presidir el ejercicio de toda clase de derechos por parte de los particulares (…). En consecuencia, un ejercicio desleal del derecho al acceso de los datos personales no es merecedor de tutela. Se deben rechazar los intentos malintencionados de instrumentalizar la Agencia en beneficio de intereses particulares. Como tiene dicho la Sentencia de la Audiencia Nacional de 1 de abril de 2011 (rec: 222/2010)”. TRIVE menciona las resoluciones de esta Agencia, entre ellas las de los expedientes número A/00489/2016, PS/00425/2012 y E/03306/2011, y recuerda “las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso, versión 2.1, adoptada el 28 de marzo de 2023, a tenor de las cuales estamos ante una solicitud “excesiva” cuando se presenta una reclamación dirigida a obtener un beneficio (en este caso en los Procedimientos Judiciales) o cuando esa reclamación se usa para provocar un daño en la parte reclamada (como buscaba expresamente A.A.A.). (…) En atención a todo lo expuesto, es manifiesto que el Procedimiento 1.0 tiene su origen en la comisión de un abuso injustificable por el Reclamante. (…) Dicho lo anterior, somos conscientes de que el Acuerdo de Incoación se dicta específicamente por la falta de respuesta de Trive. No obstante, como se ha explicado, ese posicionamiento no fue deliberado, sino que se trata de una consecuencia más de la conducta abusiva del Reclamante. De ahí que combatamos la sanción pues, más allá de no existir intencionalidad, la imposición de una multa no dejaría de ser la culminación de una estrategia deshonesta, que jamás debería tener encaje en nuestra sociedad. No en vano, las actuaciones malintencionadas, excesivas o abusivas nunca deben ser respaldadas, ni tampoco se debe permitir que se alcancen los fines que se proponen, pues atentan contra los principios generales de nuestro ordenamiento jurídico. Por ende, en línea con las resoluciones citadas, conforme al principio de la buena fe, en cumplimiento de lo previsto en las Directrices 01/2022 y con independencia de que no concurra dolo ni culpa, lo procedente es archivar el procedimiento sin imponer ninguna sanción. Con carácter subsidiario, TRIVE dice que, “en el supuesto de que esta Agencia considerase que, no obstante todo lo expuesto, sí procede la imposición de una sanción, a continuación se detallan las razones por las que la cuantificación del Acuerdo de Incoación adolece de falta de proporcionalidad.” TRIVE dice que “El principio de proporcionalidad es una garantía esencial de los procedimientos sancionadores regulado en el artículo 29 de la Ley 40/2015”, precepto “alineado con los considerandos 4 y 129 del RGPD”, y cita la Sentencia del Tribunal Supremo de 29 de mayo de 2019 (rec. 1857/2018). De ello concluye TRIVE que se requiere “poner en relación los antecedentes de hecho con los criterios de graduación establecidos en (
  12. i)el artículo 29 de la Ley 40/2015, (
  13. ii)el artículo 83.2 del RGPD, y (iii) el artículo 76.2 de la LOPDPGDD.” TRIVE considera que “Las circunstancias concurrentes no justifican la multa recogida en el Acuerdo de Incoación, al no tener en cuenta”, dice, la naturaleza, gravedad y duración de la infracción, la confusión generada por el reclamante, el alcance muy C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/23 limitado (un único afectado), la ausencia de intencionalidad y de daños, la inexistencia de infracciones previas, la cultura de cumplimiento de TRIVE ni la carencia de sentido económico. En concreto, TRIVE vuelve a señalar que “En 2023 el importe neto de la cifra de negocios de Trive en 2023 fue de 96.785.401 € (inferior a 2022). Además, como esta Agencia bien conoce, esa cifra únicamente refleja los ingresos obtenidos por la entidad, pero no el remanente que le queda a la sociedad una vez restados todos sus pasivos y los impuestos aplicables (el “Resultado del Negocio”). El Resultado del Negocio ha sido considerado en diversas ocasiones por esta Agencia para determinar la cuantía de las multas administrativas, siendo asiduas las resoluciones en las que se recogen y comparan la cifra de negocios y el Resultado del Negocio para determinar la sanción (véase por ejemplo la Resolución de 28 de marzo de 2023 (exp. PS/458/2022)). Pues bien, en este caso, en el año 2023 el Resultado del Negocio de Trive fue de 1.122.703 €. Así pues, de imponérsele una sanción de 450.000 €, esa cuantía representaría casi la mitad (40%) de la totalidad de beneficios obtenidos por Trive el pasado año, lo que constituiría una carga del todo desmesurada e inasumible para la entidad, poniendo en riesgo incluso la viabilidad económica del negocio. En conclusión, al considerar todas las circunstancias concurrentes, es incuestionable que la multa propuesta de 450.000 € resulta excesiva y desproporcionada.” TRIVE afirma que “si se mantiene la imposición de una sanción debería limitarse a un apercibimiento. Esa es la alternativa a la que esta misma AEPD se ha acogido para resolver supuestos idénticos, en los que se analizaba la misma infracción cometida (ex artículo 83.6 RGPD, por no responder a la Agencia).” TRIVE cita como ejemplos las resoluciones de esta Agencia de los procedimientos PS/00123/2022, PS/00619/2022, PS/00131/2022 y PS/00175/2021. Añade TRIVE que “la misma sanción de apercibimiento se ha impuesto por esta Agencia a otras empresas privadas en otros supuestos de infracciones muy graves, como por ejemplo la del artículo 83.5 RGPD”, citando como ejemplos las resoluciones de esta Agencia de los procedimientos PA/00061/2023, PA/00053/2023, PA/00049/2023, PS/00299/2021, PS/00104/2019 y PS/00224/2019. Por lo expuesto, TRIVE dice que “la sanción en caso debería limitarse a lo sumo a un apercibimiento. Más aún si tenemos en cuenta que el Procedimiento 2.0 está todavía en marcha, siendo el foro oportuno para, si la AEPD lo estima, dar contestación al derecho de acceso del Reclamante, facilitando en tiempo y forma cualquier información o documentación que esta autoridad de control estime conveniente. En su defecto, cuando la AEPD se ha separado de ese criterio y ha impuesto una multa económica, al revisar los precedentes disponibles vemos que las cifras son muy distintas a las que se incluyen en el Acuerdo de Incoación. Sirvan como ejemplo los siguientes expedientes:” EXP202409927, EXP202400496, EXP202318252, PS/00530/2023 y EXP202208873. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/23 TRIVE sentencia que “Prueba adicional de que estamos ante una propuesta de sanción excesiva es que, cuando se han impuesto multas económicas por las infracciones muy graves a grupos societarios mucho más grandes que Trive, los importes siempre han sido significativamente interiores.” Como ejemplo, cita las resoluciones de esta Agencia de los procedimientos PS/00339/2023, PS/00281/2022, PS/00635/2022, PS/00259/2020 y PS/00351/2019. En opinión de TRIVE, “Todas estas resoluciones o precedentes son útiles para resolver este expediente. Si se considera (en contra del respetuoso criterio de mi representada) que debe imponerse a Trive una sanción económica, la Agencia debería adoptar un enfoque coherente, predecible y homogéneo para garantizar la proporcionalidad de las medidas impuestas y respetar el principio de seguridad jurídica. Y los anteriores supuestos confirman que la AEPD ha impuesto sanciones significativamente inferiores (
  14. i)en supuestos idénticos (infracción del artículo 83.6 RGPD), (
  15. ii)en supuestos similares (infracción del artículo 83.5 RGPD), e incluso (iii) en supuestos en los que la parte reclamada eran grupos societarios cuyo volumen de negocio es inmensamente superior a Trive. En conclusión, si la AEPD considera que la conducta de Trive ha de ser objeto de una multa, la cifra debería reducirse muy significativamente, sin rebasar en ningún caso los 1.000 €.” Por todo lo expuesto, TRIVE solicita: “Con carácter principal: El archivo del expediente sancionador de referencia sin la imposición de sanción económica, en vista de (
  16. i)la no concurrencia en la actuación de Trive del necesario elemento de culpabilidad para que pueda apreciarse la comisión de una infracción administrativa, y (
  17. ii)la conducta abusiva del Reclamante. Con carácter subsidiario: Si a pesar de todo lo expuesto se considerase que la conducta es sancionable, se aperciba a Trive por la comisión de una infracción, sin imponer ninguna multa económica. Con carácter subsidiario a las dos peticiones anteriores: Si a pesar de todo lo expuesto se considerase que la conducta es sancionable con una multa económica, se reduzca sustancialmente su importe hasta el máximo posible, en los términos indicados en este escrito, de acuerdo a los principios de proporcionalidad y de seguridad jurídica. OTROSÍ DIGO: Se acompaña a este escrito (
  18. i)la carta firmada por ***EMPRESA.1 acreditando la diligencia de Trive en materia de protección de datos, (
  19. ii)las CCAA auditadas de Trive de 2023 y (iii) un conjunto de comunicaciones intercambiadas que ilustran sobre lo acaecido. Debido a las limitaciones técnicas de la página web de esta Agencia, no hemos podido aportar las grabaciones de las conversaciones telefónicas ni toda la documentación a la que hacemos referencia en este escrito. No obstante, esta parte muestra su plena disposición para aportar, a requerimiento de la AEPD, cuanto la Agencia estime necesario o conveniente y en el formato que estime oportuno.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/23 UNDÉCIMO: Recogido nuevamente informe de la herramienta AXESOR en relación con las últimas cuentas depositadas por la entidad TRIVE CREDIT SPAIN, S.L., el volumen de negocios del último año, 2023, asciende a 96.785.401 euros. DUODÉCIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La resolución del procedimiento de ejercicio de derechos y los requerimientos para el cumplimiento de las medidas impuestas en la misma indicados en los antecedentes primero, segundo, tercero y cuarto fueron notificados, con arreglo a lo dispuesto en la LPACAP. Dicha resolución devino firme y ejecutiva por el transcurso de los plazos previstos para la interposición de los recursos en ella indicados. SEGUNDO: TRIVE no remitió respuesta alguna a esta Agencia que acreditara el cumplimiento de la resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/23 El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por TRIVE se debe señalar lo siguiente. En la resolución del procedimiento de ejercicio de derechos del expediente número EXP202315972, se requería a TRIVE que remitiera a la parte reclamante certificación por la que se atendiera el derecho de acceso ejercido o se denegara motivadamente. Además, las actuaciones realizadas como consecuencia de dicha resolución debían ser comunicadas a esta Agencia. El presente procedimiento sancionador trae causa en el incumplimiento de esa orden. Cualquier motivo de disconformidad con el objeto de ese procedimiento, esto es, la respuesta al ejercicio de un derecho reconocido por el RGPD a los interesados sobre sus datos personales podía y debía haber sido planteado en el momento procedimental oportuno, por tanto durante la tramitación de dicho procedimiento, en que se le dio oportunidad de presentar todas las alegaciones que considerase pertinentes. Igualmente, la impugnación de la resolución definitiva de dicho procedimiento en la que se incluía la orden ahora incumplida, se podía y debía haber realizado ejerciendo su derecho a plantear los recursos procedentes en el plazo señalado por la normativa e informado en la propia resolución. En el momento presente, la resolución es firme y ejecutiva, y debe ser cumplida en sus propios términos, no pudiendo admitirse alegaciones que pretendan su revisión. El objeto del presente procedimiento sancionador es la falta de cumplimiento de una resolución firme de la autoridad de control. En cuanto al requisito de culpabilidad para la imposición de sanción administrativa basada en las infracciones contenidas en los apartados 4 a 6 del artículo 83 del RGPD, ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/23 Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.” A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Asimismo, cabe reiterar que constan en el expediente los acuses de recibo por parte de TRIVE tanto de la resolución del procedimiento de ejercicio de derechos como de dos requerimientos de cumplimiento de la misma, sin que se haya recibido en esta Agencia respuesta a dichas notificaciones antes del inicio del presente procedimiento sancionador, por lo que se desestima la falta de culpabilidad. En relación a la “cultura de cumplimiento” de TRIVE respecto a la normativa en materia de protección de datos, se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. Por lo tanto, no puede considerarse como atenuante lo que es un deber legal del responsable del tratamiento. Sobre la presunta “confusión generada por dos procedimientos prácticamente idénticos”, resulta pertinente aclarar, en primer lugar, que en el hecho tercero se menciona el escrito presentado con fecha 19 de julio de 2024 en el cual la parte reclamante manifestó que la resolución del expediente EXP202315972 no había sido cumplida. Ello no guarda relación alguna con la reclamación presentada en la misma fecha por la parte reclamante, la cual dio origen al otro expediente al que hace alusión TRIVE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/23 En segundo lugar, se reitera que, como se recoge en el hecho cuarto, obran en el expediente los acuses de recibo de las dos notificaciones del requerimiento de cumplimiento de la resolución del expediente EXP202315972 recogidas por TRIVE, que se realizaron con carácter previo a la apertura del presente procedimiento, otorgando dos nuevos plazos para que se regularizara el incumplimiento de la resolución. En cuanto a la aplicación que exige TRIVE del principio de proporcionalidad y los criterios de graduación, cabe señalar que los mismos han sido tenidos en cuenta en el Acuerdo de inicio del presente procedimiento sancionador. En el Fundamento de derecho V del Acuerdo de inicio del presente procedimiento sancionador, bajo el título de Propuesta de sanción, se indica que, para garantizar una aplicación coherente del RGPD, se toman en consideración las Directrices 04/2022 formuladas por el Comité Europeo de Protección de Datos sobre el cálculo de multas bajo el RGPD. Al respecto, cabe destacar que, en el Acuerdo de inicio, la fijación de la multa se realizó con base en el volumen de negocio de TRIVE correspondiente al ejercicio 2022, al ser los últimos datos disponibles en el informe de la herramienta AXESOR conforme a las últimas cuentas depositadas en el Registro Mercantil. No obstante, conforme a lo reflejado en las cuentas anuales del ejercicio 2023 aportadas por la empresa, procede revisar el importe de la multa que corresponde imponer a TRIVE. Acerca de la afirmación de TRIVE de que “si se mantiene la imposición de una sanción debería limitarse a un apercibimiento. Esa es la alternativa a la que esta misma AEPD se ha acogido para resolver supuestos idénticos, en los que se analizaba la misma infracción cometida (ex artículo 83.6 RGPD, por no responder a la Agencia).”, cabe responder que las resoluciones que cita TRIVE se refieren a procedimientos sancionadores en los que el investigado era una Administración Pública, por lo que, en aplicación del artículo 77 de la LOPDGDD, probada la infracción se resolvió declarando la infracción y estableciendo, en su caso, las medidas que procedía adoptar para que cesara la conducta o se corrigieran los efectos de la infracción. Con respecto a la afirmación de TRIVE de que “la misma sanción de apercibimiento se ha impuesto por esta Agencia a otras empresas privadas en otros supuestos de infracciones muy graves, como por ejemplo la del artículo 83.5 RGPD”, se aclara que el artículo 83 del RGPD regula las condiciones generales para la imposición de multas administrativas. En cuanto a las resoluciones que TRIVE pone como ejemplos de sanciones de apercibimiento, en las mismas se dirigen apercibimientos por infracciones de diferentes artículos del RGPD (en ninguno de esos casos del artículo 58.2 del RGPD) tipificadas en los artículos 83.4 u 83.5 del RGPD. Por tanto, se trata de supuestos distintos al del presente procedimiento sancionador, en el que se analiza si se ha cometido una infracción del artículo 58.2 del RGPD, tipificada en el artículo 83.6 del RGPD. En lo que se refiere a la afirmación de TRIVE de que “Prueba adicional de que estamos ante una propuesta de sanción excesiva es que, cuando se han impuesto multas económicas por las infracciones muy graves a grupos societarios mucho más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/23 grandes que Trive, los importes siempre han sido significativamente interiores”, se señala las resoluciones que TRIVE cita como ejemplos se refieren a casos en los que el sancionado contaba con un volumen de negocios elevado y la infracción estaba tipificada en el artículo 83 del RGPD. Al respecto, conviene recordar que la cuantificación final del importe de la multa debe basarse en una evaluación específica realizada en cada caso concreto. Los fundamentos de la cuantificación de la multa en este caso se detallan en la propuesta de sanción. Tomando en consideración todo lo expuesto, no procede el archivo del presente procedimiento sancionador ni resolver el mismo dirigiendo un apercibimiento a TRIVE. No obstante, en vista de las cuentas anuales del ejercicio 2023 aportadas por TRIVE y de la información financiera depositada por esta empresa en el Registro Mercantil y recogida por esta Agencia a través de la herramienta Axesor, procede revisar el importe de la multa administrativa fijada en el Acuerdo de inicio del presente procedimiento sancionador. IV Obligación incumplida A tenor de los hechos expuestos, se considera que TRIVE ha incumplido la resolución de la Agencia Española de Protección de Datos. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable TRIVE, por vulneración del artículo 58.2.
  20. c)del RGPD, que dispone lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  21. c)ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento;” V Tipificación y calificación de la infracción Esta infracción se tipifica en el artículo 83.6 del RGPD, que estipula lo siguiente: “El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “
  22. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/23 VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  23. a)a
  24. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  25. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  26. b)la intencionalidad o negligencia en la infracción;
  27. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  28. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  29. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  30. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  31. g)las categorías de los datos de carácter personal afectados por la infracción;
  32. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  33. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  34. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/23
  35. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  36. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  37. a)El carácter continuado de la infracción.
  38. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  39. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  40. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  41. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  42. f)La afectación a los derechos de los menores.
  43. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  44. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Asimismo, para garantizar una aplicación coherente del RGPD, se han de tomar en consideración las Directrices 04/2022 formuladas por el Comité Europeo de Protección de Datos sobre el cálculo de multas bajo el RGPD. En este caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de TRIVE. Asimismo, el RGPD prevé importes máximos en el artículo 83, apartados 4 a 6, en el que se agrupan varios tipos de conducta diferentes. A este respecto, se tiene en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/23 cuenta que la infracción determinada en este procedimiento se tipifica en el artículo 83.6 del RGPD, por tanto, dentro del conjunto de infracciones de mayor gravedad que cuentan con un rango sancionador más alto. Finalmente, se ha de señalar con arreglo a las circunstancias de graduación del art. 83.2 del RGPD, que en su apartado
  45. a)considera que se debe tener debidamente en cuenta «la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido», se ha valorado: - En primer lugar, la gravedad de la infracción por su naturaleza, dados los intereses protegidos y su lugar en el marco de la protección de los datos personales. Al no acreditar el cumplimiento de unas medidas que persiguen corregir los efectos de una infracción o adecuar un tratamiento a la legalidad, se está persistiendo en una situación ilícita, además de desobedecer los poderes correctivos de los que el RGPD dota a las autoridades de control para que puedan cumplir su primer cometido: controlar la aplicación del RGPD y hacerlo aplicar. - En segundo lugar, la gravedad de la infracción por su duración. El responsable conoce la resolución que le impone el cumplimiento de una orden de esta Agencia desde el 12 de marzo de 2024, resolución que devino firme y ejecutiva un mes después. Ha transcurrido así más de un año desde que finalizó el plazo otorgado para el cumplimiento de la resolución, realizándose además durante este tiempo dos requerimientos de cumplimiento por parte de esta Agencia. - No obstante lo anterior, se tiene en consideración también el número de interesados afectados por la infracción, tratándose de un único individuo. En atención a las circunstancias expuestas, por la vulneración del artículo 58.2 del RGPD tipificada en el artículo 83.6 del RGPD correspondería imponer a TRIVE una sanción de multa administrativa por un importe de 225.000,00 euros. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del de acuerdo con lo establecido en el citado artículo 58.2
  46. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En tal caso, en la resolución que se adopte, esta Agencia podrá ordenar al responsable para que en el plazo de diez días hábiles notifique a la Agencia la adopción de las medidas impuestas en la resolución del procedimiento de ejercicio de derechos del expediente número EXP202315972. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/23 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. A la vista de lo expuesto se procede a emitir la siguiente: PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a TRIVE CREDIT SPAIN, S.L., con NIF B87258091, por una infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD, con una multa de 225.000,00 euros. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a TRIVE CREDIT SPAIN, S.L., con NIF B87258091, que en virtud del artículo 58.2.
  47. d)del RGPD, en el plazo de diez días hábiles, remita a la parte reclamante certificación por la que se atienda el derecho de acceso ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en la resolución del procedimiento de ejercicio de derechos del expediente número EXP202315972. Asimismo, las actuaciones realizadas deberán ser comunicadas a esta Agencia en idéntico plazo. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 180.000,00 euros y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/23 En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 1105-241024 B.B.B. INSTRUCTORA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/23 ANEXO Índice del expediente EXP202415922 15/11/2024 Diligencia 02/12/2024 Acuerdo de inicio a TRIVE CREDIT SPAIN, S.L. 02/12/2024 Escrito a A.A.A. 18/12/2024 Alegaciones de TRIVE CREDIT SPAIN, S.L.U. >> SEGUNDO: En fecha 12 de junio de 2025, TRIVE ha procedido al pago de la sanción en la cuantía de 180.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
  48. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/23 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 180.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, TRIVE, en fecha 12 de junio de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/23 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 225.000,00 euros. Tras haber procedido TRIVE CREDIT SPAIN, S.L. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 180.000,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202415922, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a TRIVE CREDIT SPAIN, S.L. para que en el plazo de 10 días desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. CUARTO: NOTIFICAR la presente resolución a TRIVE CREDIT SPAIN, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  49. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
  50. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/23 dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1331-080725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.