PS-00501-2024

1/22 Expediente N.º: EXP202416225 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de denuncia presentada ante la Agencia Española de Protección de Datos, apreciándose indicios de un posible incumplimiento de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos, con fecha de 2 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar actuaciones de investigación con número de expediente EXP202307414 en relación con MEYDIS, S.L., con NIF B28652121 (en adelante, MEYDIS). SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). En el marco de las actuaciones de investigación, se remitió a MEYDIS un requerimiento de información para que en el plazo de diez días hábiles presentase ante esta Agencia la información y documentación que se señalaba. TERCERO: El requerimiento de información, que se notificó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido por MEYDIS con fecha 30 de diciembre de 2023, como consta en el acuse de recibo que obra en el expediente. CUARTO: Con fecha 9 de enero de 2024 y número de registro de entrada REGAGE24e00002017005, MEYDIS solicita ampliación de plazo, que se le concede. QUINTO: Con fechas 22 de enero y 5 de febrero de 2024 y números de registro de entrada REGAGE24e00005131561 y REGAGE24e00008892366, MEYDIS responde al requerimiento anterior. SEXTO: Con objeto de completar ciertos aspectos en relación con la información aportada en respuesta al mencionado requerimiento, se remitió a MEYDIS otro requerimiento de información para que, en el plazo de diez días hábiles, presentase ante esta Agencia la información y documentación que se señalaba. En su punto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/22 primero se solicitaba, en relación con el Registro de Actividades de Tratamiento (RAT) como encargado de tratamiento de datos personales: “El listado de cada uno de los responsables de tratamiento por cuenta de los cuales se realiza algún encargo (clientes de MEYDIS), así como la categoría de tratamiento realizada.” El nuevo requerimiento se notificó conforme a las normas establecidas en la LPACAP y fue recogido por MEYDIS con fecha 6 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 12 de febrero de 2024 y números de registro de entrada REGAGE24e00010984253 y REGAGE24e00011007741 se recibieron escritos en esta Agencia por parte de PICON & ASOCIADOS DERECHO Y NUEVAS TECNOLOGIAS SL, actuando como delegado de protección de datos (en adelante, DPD) de MEYDIS. El DPD afirmaba que los requerimientos de información se habían remitido directamente a la empresa MEYDIS sin remitir al DPD copia de la reclamación antes de decidir sobre su admisión o no con lo que, decía, se le había impedido el desempeño de las funciones que tenía legal y contractualmente asumidas. Por ello, solicitaba que se le diera traslado de copia completa del expediente o que se declarasen nulos los dos requerimientos de información remitidos a MEYDIS. A dicha solicitud se contestó con un escrito en el que se informaba sobre la imposibilidad de facilitar copia del expediente dadas las actuaciones previas de investigación que se estaban realizando en esta Agencia. Adicionalmente, en dicho escrito, se reiteraba nuevamente el requerimiento de información ya notificado con fecha 6 de febrero de 2024, otorgándose un nuevo plazo de diez días hábiles para contestar. Dicho escrito incluía además la siguiente precisión sobre la información solicitada: “En el apartado primero del requerimiento se solicita el listado de responsables de tratamiento por cuenta de los cuales se realizan actividades de encargo de tratamiento de datos personales, con respecto a esta petición, aclarar que no se trata de una solicitud sobre la totalidad de los clientes de MEYDIS SL, sino de la información que, atendiendo al artículo 30.2 (apartado

1. a)del RGPD, debe incorporar el Registro de Actividades de Tratamiento cuando se actúa como encargado, no localizándose este listado en la documentación aportada en la respuesta al primer requerimiento.” Se señala que, atendiendo a la respuesta dada por parte del DPD de MEYDIS, donde expresaba su voluntad de estar informado de los requerimientos notificados a dicha empresa, dicho escrito fue notificado, conforme a las normas establecidas en la LPACAP, a MEYDIS con fecha 15 de febrero de 2024 y a su DPD con fecha 14 de febrero de 2024, como consta en los acuses de recibo que obran en el expediente. OCTAVO: Con fecha 21 de febrero de 2024 y número de registro de entrada REGAGE24e00013602029, MEYDIS solicita ampliación de plazo, que se le concede. NOVENO: Con fecha 6 de marzo de 2024 y número de registro de entrada REGAGE24e00017400239, MEYDIS responde al punto primero del requerimiento de información del hecho sexto, precisado como se señala en el hecho séptimo, remitiéndose al documento 1 (RAT) ya aportado en su primera respuesta indicada en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/22 el hecho quinto, a pesar de que se le advirtió de que dicho documento no contenía la información requerida. DÉCIMO: Por tanto, respecto a la información requerida, MEYDIS no ha respondido de forma completa a los requerimientos reiterados de información puesto que no ha aportado en ningún momento el listado de cada uno de los responsables de tratamiento por cuenta de los cuales se realizaba algún encargo, así como la categoría de tratamiento realizada. UNDÉCIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad MEYDIS, S.L. es una PYME constituida en el año 1980 y con un volumen de negocios de 13.619.977 euros en el año 2023. DUODÉCIMO: Con fecha 28 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MEYDIS, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el Artículo 83.5 del RGPD. DECIMOTERCERO: El citado acuerdo de inicio fue recogido por MEYDIS con fecha 8 de diciembre de 2024, como consta en el acuse de recibo que obra en el expediente. DECIMOCUARTO: Con fecha 9 de diciembre de 2024 se registra de entrada, con número REGAGE24e00092038349, escrito en el que MEYDIS solicita copia completa de todos los documentos que integran el expediente EXP202416225, la cual se le entrega con fecha 16 de diciembre de 2024. DECIMOQUINTO: Con 17 de diciembre de 2024 se registra de entrada, con número REGAGE24e00094076741, escrito en el que MEYDIS solicita ampliación del plazo inicialmente concedido para la formulación de alegaciones. Esta Agencia acordó ampliar el plazo para formular alegaciones hasta un máximo de cinco días, computados a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. DECIMOSEXTO: Con fecha 27 de diciembre de 2024 y número de registro de entrada REGAGE24e00096079624, MEYDIS presenta escrito de alegaciones al acuerdo de inicio en el que manifiesta lo siguiente. En su primera alegación, MEYDIS sostiene que recibió “sendos requerimientos de información, que fueron respondidos en tiempo y forma. En las respuestas efectuadas, se incluyó la información requerida por la AEPD para todas y cada una de las cuestiones planteadas, así como la oportuna documentación justificativa, en un total de cuarenta y cuatro documentos Anexos. No cabe afirmar, por tanto, que, la voluntad de mi representada no fuese la de colaborar con la investigación de esa Agencia. (…) El Acuerdo de Inicio del Procedimiento entiende que la infracción legal se puso de manifiesto en el hecho de no haber aportado “el listado de cada uno de los responsables de tratamiento por cuenta de los cuales se realizaba algún encargo, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/22 como la categoría de tratamiento realizada” (sic), que se había solicitado en el segundo de los requerimientos de información recibidos. (…) No obstante, en relación con este segundo aspecto (las categorías de tratamiento como encargado), incurre la AEPD en un error, que también se pone de manifiesto en la descripción de los hechos del Acuerdo de Inicio. El HECHO NOVENO, no sólo obvia que sí aportamos esa información, sino que, además, afirma que, en ese punto, nuestra respuesta al segundo requerimiento se limitó a remitirnos a lo ya aportado en nuestra primera respuesta, lo cual no es cierto. (…) Contrariamente a lo que la AEPD afirma, nuestro escrito no se remitió en ningún momento a lo ya aportado en la respuesta al primer requerimiento. Por el contrario, la información sobre las categorías de tratamientos realizados en calidad de encargado (RAT como encargado) sí fue incluida, como ANEXO I, en el escrito que presentamos en fecha 6 de marzo de 2024. Así consta en el folio 313 del Expediente Administrativo. Por tanto, los hechos descritos en el Acuerdo de Inicio en este punto no son ciertos. Por otra parte, en relación con el listado de los clientes para los que MEYDIS presta servicios como encargado, es importante explicar por qué no se incluyó en nuestra respuesta, ya que ello no se ha debido, en absoluto, a la voluntad de no colaborar con la AEPD. (…) Con fecha de 30 de diciembre de 2023, MEYDIS recibe un primer requerimiento de información que, según decía expresamente, se realizó “con objeto de aclarar ciertos hechos de los cuales ha tenido conocimiento esta Agencia Española de Protección de Datos a raíz de denuncia interpuesta en relación con el uso de datos del censo electoral obtenidos de varios contratos públicos”. La información solicitada como encargado del tratamiento se centraba, según ello, en los datos del censo electoral tratados en la prestación de servicios al Instituto Nacional de Estadística (INE). Entre la información solicitada, se nos pidió el RAT, de conformidad con el art. 30 RGPD. Y, dado que el requerimiento de información se refería al tratamiento de los datos del censo electoral, se adjuntó la ficha de RAT como encargado que afecta, concretamente, a los servicios prestados al INE y que, dada la especial naturaleza de dichos servicios, se encuentra individualizada (página 28 del Expediente Administrativo). Como es natural, no incluimos en esta respuesta ninguna información relativa a otros clientes, ni tampoco otros RAT como encargados, ya que sólo se nos pregunta por nuestros servicios al INE. Posteriormente, con fecha 6 de febrero de 2024, recibimos un nuevo requerimiento de información, que, según decía, tenía por objeto “aclarar ciertos aspectos en relación con la información aportada recientemente por su organización”. Sin embargo, este segundo requerimiento no se limitó a aclarar aspectos relacionados con el anterior, sino que amplió significativamente su alcance, al solicitar información ajena a lo que figuraba en el primero, como las medidas de seguridad aplicadas al tratamiento de datos personales o la descripción de nuestros sistemas de tratamiento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/22 información. Además, esta solicitud de información se amplió a la totalidad de los servicios prestados por MEYDIS como encargado del tratamiento a sus clientes, requiriendo que se aportara: “El listado de cada uno de los responsables del tratamiento por cuenta de los cuales se realiza algún encargo (clientes de MEYDIS), así como la categoría de tratamiento realizada.”. Ante esta ampliación del objeto de la investigación (que, como vemos, literalmente, se refería a todos los clientes de MEYDIS), el 12 de febrero de 2024, el Delegado de Protección de Datos de la entidad, remitió un escrito a la AEPD, solicitando acceder al expediente administrativo. Además, manifestaba su preocupación por las sospechas de incumplimientos generalizados que parecían deducirse de la ampliación del objeto de la investigación a la totalidad de los clientes y los tratamientos de datos realizados en calidad de encargado, todo o cual, lógicamente, incidía en el desempeño de sus funciones. A dicho escrito, respondió el inspector de la AEPD negando el acceso al expediente y volviendo a enviar el documento que contenía el segundo requerimiento”, dice MEYDIS que añadiendo la aclaración recogida en el hecho séptimo, que, en su opinión, “resultaba contradictoria con el segundo requerimiento de información, ya que en este se solicitaba un listado de todos los clientes de Meydis responsables del tratamiento, mientras que, en la aclaración, contrariamente, decía que no se nos estaba realizando una solicitud sobre la totalidad de los clientes de MEYDIS, sino sólo del RAT de la compañía como encargado del tratamiento. Así las cosas, respondimos al requerimiento conforme a lo que se deducía del texto de la aclaración enviada al DPO, por ser de fecha posterior. Aportamos así la relación de tratamientos efectuados por MEYDIS en calidad de encargado, es decir, las categorías de tratamientos realizadas en esa condición como consta en el RAT, no el listado de todos los clientes, ya que el escrito enviado por el inspector al DPO indicaba expresamente “no se trata de una solicitud sobre la totalidad de los clientes de MEYDIS SL”. Actuamos en la plena convicción de que lo proporcionado era exactamente lo que se nos estaba solicitando por el inspector, teniendo en cuenta las propias actuaciones de este. Por otra parte, si lo aportado por nosotros no se ajustaba a lo que el inspector realmente quería, no se entiende que, tras nuestro escrito, no recibiésemos comunicación alguna en la que la AEPD nos manifestase que la información era incompleta o no se ajustaba a lo solicitado. Y tiempo ha tenido la Administración para ello, ya que, entre la fecha de nuestra respuesta (6 de marzo de 2024) y la apertura del presente procedimiento han transcurrido casi nueve meses. Este silencio mantenido en el tiempo sólo podía llevarnos a la lógica convicción de que lo entregado era correcto y se ajustaba a lo que se nos había pedido. Conviene aclarar en este punto que, aunque el Acuerdo de Inicio del Procedimiento afirma que no hemos respondido a “los requerimientos reiterados” de la información sobre nuestros clientes, no es cierto que se nos reiterase la petición. El escrito con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/22 segundo requerimiento de información se nos envió dos veces, pero no como forma de reiteración por falta de respuesta, sino que la segunda vez se nos remitió sólo porque el DPO había solicitado estar informado de los requerimientos a la empresa, lo que dio lugar a un nuevo envío y a la concesión de un nuevo plazo de respuesta. Pero obsérvese que ese segundo envío se nos hizo cuando ni siquiera había transcurrido el plazo de respuesta al requerimiento, por lo que aún no lo habíamos respondido. (…) De todo lo expuesto sólo puede deducirse que no ha existido ninguna intención de obstaculizar la actuación inspectora o de no aportar a la AEPD la información que se nos ha solicitado. Al contrario, hemos colaborado plenamente en los requerimientos que se nos han hecho. Si hay información que el inspector deseaba obtener y no obtuvo, fue sólo el resultado de su propia actuación, por la falta de claridad y contradicción en la redacción de sus escritos y por la omisión de cualquier petición o aclaración posterior.” En su segunda alegación, MEYDIS recuerda el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, la Sentencia del Tribunal Supremo de 6 junio 2008 que, dice MEYDIS, “resume la jurisprudencia en relación con el principio de culpabilidad en materia sancionadora” y “la doctrina del Tribunal Constitucional, emanada de su STC 18/1981, de 8 de junio”. MEYDIS concluye que “No cabe apreciar culpabilidad si no existe una relación psicológica consciente de causalidad entre la actuación imputada y la infracción de las disposiciones administrativas, debiéndose apreciar y tener en cuenta, a efectos de valorar la culpa, aquellas circunstancias que hayan podido alterar o influir en las facultades volitivas del encausado. MEYDIS alega que “a la hora de evaluar si Meydis incurrió en una conducta culpable en este caso” deben tenerse en cuenta las siguientes circunstancias. Por una parte, MEYDIS dice que “La AEPD tiene el deber legal de garantizar la claridad y exactitud en los escritos que remite a los interesados”. Al respecto, MEYDIS cita el artículo 9.1 de la Ley Orgánica 5/2024, de 11 de noviembre, del Derecho de Defensa y argumenta que “Si la redacción de los escritos que se dirigen al particular es confusa o contradictoria, las consecuencias de ese incumplimiento legal no se pueden hacer recaer sobre el administrado, ya que, en este caso, la irregularidad sólo es imputable al inspector. Si no está claro qué es lo que solicita el inspector, por pedir una cosa y luego, aparentemente, la contraria, no se puede responsabilizar a MEYDIS de no haber entendido dicha confusión del modo que el instructor, en su fuero interno, deseaba que se hiciera.” Por otra parte, MEYDIS recuerda el artículo 3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y la Sentencia de la Sala de lo Contenciosoadministrativo del Tribunal Supremo, de 22 de febrero de 2016 (rec.4948/2013). MEYDIS argumenta que “Los principios de buena fe y confianza legítima en la actuación administrativa derivan del de seguridad jurídica, e implican que la Administración pública no puede perseguir al particular que ha actuado, precisamente, confiando en la actuación previa de la propia Administración.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/22 MEYDIS también cita “la Sentencia del TJCE Chomel, de 27 de marzo de 1990, que dice: «[…] cuando el silencio de la Administración es muy persistente, se prolonga indebidamente durante mucho tiempo, puede dar lugar a que surja en el interesado la legítima confianza en que el silencio administrativo y la actividad que desarrolla es acorde con la legalidad y consentida […]». Las consecuencias prácticas de la violación del principio de confianza legítima excluyen la responsabilidad derivada de la actuación a que haya inducido la administración, tal y como precisó la STS de 18 de diciembre de 2015 (rec.3548/2014). Ello supone que la Administración no puede exigir responsabilidad a un particular cuando éste ha actuado, precisamente, basándose en la previa actuación administrativa, que ha sido la que ha causado la actuación que posteriormente la propia Administración reprocha al ciudadano. Además, la buena fe, que también debe inspirar la actuación administrativa, tiene como consecuencia un prototipo de conducta, con unos comportamientos concretos, que deben ser asumidos por la Administración que crea esa expectativa. Así lo reseña la STS de 11 de junio de 198630, FD tercero, cuando señala: «[…] La buena fe (…) implica una exigencia de coherencia con la confianza que en los demás ha podido razonablemente originar la conducta anterior del sujeto actuante […]».” MEYDIS insiste en que “No ha existido ninguna intención consciente de ocultar o no proporcionar información a la AEPD, como tampoco ha existido negligencia, ni siquiera leve, puesto que MEYDIS actuó sólo motivada por el proceder del propio inspector”, en primer lugar, dice, “por la falta de claridad y contradicción entre el segundo requerimiento de información y la aclaración remitida después al DPO” y, en segundo lugar, “por la apariencia de conformidad de nuestra respuesta, que se derivaba del hecho de que, una vez presentada, nada se nos dijo durante nueve meses acerca de que no se ajustase a lo que el inspector realmente quería. Y no podemos olvidar que, en el ámbito del Derecho sancionador, el Tribunal Supremo tiene construida una sólida doctrina en el sentido de vincular la culpabilidad del sujeto infractor a la circunstancia de que su conducta no se halle amparada por una interpretación jurídica razonable, que es lo que aquí ha sucedido.” De todo lo expuesto, MEYDIS concluye “la ausencia de culpabilidad de MEYDIS en los hechos imputados. Se actuó en todo momento, de buena fe, en la convicción firme de estar atendiendo de forma adecuada los requerimientos del inspector y habiendo sido inducidos a dicha creencia sólo por la actuación de este, confiando, además, en que el silencio posterior de la AEPD confirmaba la corrección de nuestra actuación.” En su tercera alegación, MEYDIS se transcribe los apartados segundo y cuarto de la parte dispositiva del Acuerdo de inicio del presente procedimiento sancionador. El apartado segundo recoge la orden de facilitar la información requerida en los requerimientos realizados en el marco de las actuaciones con número de expediente EXP202307414, mientras que el apartado cuarto ordena incorporar al presente expediente sancionador, a efectos probatorios, los requerimientos de información remitidos por la Subdirección General de Inspección de Datos en el marco de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/22 actuaciones con expediente número EXP202307414 y la acreditación de haberse practicado su notificación, así como las respuestas de MEYDIS, S.L. a los mismos. Según MEYDIS, “en el marco del presente procedimiento sancionador, se nos requiere la aportación de información correspondiente a un procedimiento de diligencias previas anterior y diferente, que es, precisamente, el que ha dado lugar a este procedimiento sancionador y cuyo expediente, además, se ordena incorporar aquí, como prueba. Se entremezclan, de este modo, el procedimiento de diligencias previas en el que se nos imputa por no haber aportado cierta información con este procedimiento sancionador, al que se va a incorporar, como prueba, aquel expediente de diligencias previas, incluyendo también, obviamente, toda la información que aportásemos al presente procedimiento en cumplimiento de la orden que se nos efectúa en el Acuerdo SEGUNDO. Esta situación es flagrantemente irregular, desde la óptica del cumplimiento de los principios aplicables al ejercicio de la potestad sancionadora, especialmente cuando no tenemos conocimiento del contenido completo del expediente administrativo EXP202307414, ya que se negó a nuestro DPO acceso al mismo. Desconocemos así las consecuencias que sobre este procedimiento sancionador puede tener la aportación de lo que se nos solicita en relación con el expediente de investigación EXP202307414, parte de cuyo contenido constituye, precisamente, el acervo probatorio del presente expediente. Por otra parte, no se entiende que, si la información solicitada en el Acuerdo SEGUNDO sigue siendo necesaria para el desempeño de las tareas de investigación de la AEPD, no se nos haya solicitado nada en estos últimos 9 meses y, sin embargo, se haga ahora en el marco de un expediente sancionador, en el que, precisamente, esa información sería incorporada como prueba. Por último, tampoco se entiende ahora y en este contexto la orden de aportar esa información cuando el expediente de diligencias previas, según las fechas que figuran en el Acuerdo de Inicio de este Procedimiento sancionador, ya ha caducado, al haber transcurrido el plazo máximo de dieciocho meses previsto en el art. 67.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Dicha caducidad, además de imponer a la Administración Pública su apreciación de oficio, impide ya seguir practicando diligencias en el marco de aquel expediente, incluida la aportación al mismo de nuevos documentos, ya que ha finalizado.” MEYDIS dice que “nuestra negativa a aportar lo que pide el Acuerdo de Inicio no viene a ratificar ninguna presunta actividad obstructiva en el EXP202307414, como pudiera concluirse de forma tendenciosa, sino que se impone legalmente por los motivos indicados.” De conformidad con lo expuesto, MEYDIS solicita que “se resuelva la finalización de este procedimiento, con archivo de las actuaciones, por los motivos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/22 No ser ciertos los hechos que justifican la apertura del expediente sancionador, ya que puede constatarse en el expediente que, en contra de lo que dice el Acuerdo de Inicio, nuestra respuesta al segundo requerimiento de información no se remitió a lo aportado en el primero, sino que incluyó el RAT como encargado del tratamiento. No concurrir culpabilidad en el hecho imputado (no aportación de listado con la totalidad de clientes responsables del tratamiento), ya que se llevó a cabo en la convicción de estar actuando conforme a lo solicitado por el inspector, inducidos por la falta de claridad, la contradicción entre el requerimiento de información y la aclaración remitida por el inspector al DPO y la confianza legítima derivada de la ausencia de posteriores comunicaciones o requerimientos al respecto.” DECIMOSÉPTIMO: Con fecha 24 de junio de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se sancionara a MEYDIS, S.L. por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 80.000,00 €; y que se le ordenara que, de acuerdo con el poder de investigación dispuesto en el artículo 58.1.
2. a)del RGPD, se facilitara, en el plazo de diez días hábiles, la información requerida en los requerimientos realizados en el marco de las actuaciones con número de expediente EXP202307414. Asimismo, se puso de manifiesto el procedimiento a fin de que en el plazo de diez días MEYDIS, S.L. pudiera alegar cuanto considerara en su defensa y presentar los documentos e informaciones que considerara pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. Esta propuesta de resolución fue notificada fehacientemente a MEYDIS, S.L. con fecha 26 de junio de 2025, como consta en el acuse de recibo que obra en el expediente DECIMOCTAVO: Con fecha 10 de julio de 2025 MEYDIS procedió al pago de la sanción en la cuantía de 64.000 euros haciendo uso de la reducción prevista en la propuesta de resolución del presente procedimiento sancionador, sin reconocer la responsabilidad en relación con los hechos a los que se refiere dicha propuesta de resolución. DECIMONOVENO: Con fecha 10 de julio de 2025 y número de registro de entrada REGAGE25e00060700122, MEYDIS presenta escrito de alegaciones a la propuesta de resolución, en el que se reitera en lo recogido en sus alegaciones al Acuerdo de inicio del presente procedimiento sancionador y manifiesta lo siguiente. “Sobre la supuesta reiteración del requerimiento de información cuyo incumplimiento se imputa (Antecedente de Hecho SEPTIMO)”, MEYDIS insiste en que “el requerimiento de información presuntamente incumplido” no se hizo de forma reiterada, puesto que, dice, “esta supuesta “reiteración del requerimiento” no es una nueva petición sobre el mismo objeto, como deja caer la AEPD, sino que se envió sólo en respuesta al escrito del DPO. No existe, por tanto, reiteración de la solicitud ante un supuesto incumplimiento del anterior requerimiento, sino sólo un nuevo envío de la misma petición, concediendo un nuevo plazo para responderlo. Y todo ello sin que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/22 hubiese vencido el plazo del que disponía Meydis para responder al requerimiento original, recibido el 6 de febrero de 2024.” “Sobre la respuesta de Meydis al segundo requerimiento de la AEPD en relación con el RAT como encargado del tratamiento (Antecedentes de Hecho NOVENO y DÉCIMO)”, MEYDIS dice que su respuesta al segundo requerimiento “fue la siguiente: “Los tratamientos realizados actualmente por Meydis para sus clientes, en calidad de encargado del tratamiento, son los que constan en el archivo que se adjunta como DOCUMENTO 1.” Dicho DOCUMENTO 1 se acompañaba a nuestra respuesta al segundo requerimiento y en él consta el listado de los tratamientos de datos personales realizados por Meydis para sus clientes en calidad de encargado (folio 313 expediente administrativo). Por tanto, se facilitó a la AEPD, ex novo, lo que en este segundo requerimiento se solicitaba. (…) En el expediente consta nuestra respuesta a la petición sobre las categorías de tratamiento realizadas en calidad de encargado, conforme al art. 30 RGPD. Los motivos por los que no se entendió que se estuvieran también solicitando datos identificativos de los clientes quedan suficientemente explicados en nuestro primer escrito de alegaciones y se basan sólo en la convicción de que estábamos facilitando toda la información que se nos solicitaba, confiando legítimamente en lo que el propio inspector nos había inducido a pensar en sus contradictorios escritos y sin que hiciese posteriormente nada por sacarnos de esa convicción.” “En relación con la frase “nuestra negativa a aportar lo que pide el Acuerdo de Inicio”, en la que la AEPD fundamenta la culpabilidad de Meydis”, MEYDIS dice que no se trata de una suerte de reconocimiento de culpabilidad, sino que “esa frase, sólo aparece, realmente, en la tercera de las alegaciones de nuestro primer escrito, en el que combatíamos que el Acuerdo de Inicio de Procedimiento pudiera exigirnos que aportásemos ahora documentación referida al expediente EXP202307414, dado que esa información correspondía a un expediente distinto y caducado. Por eso hablábamos de “nuestra negativa a aportar lo que pide el Acuerdo de Inicio”, es decir, a aportar esa información en el contexto de este procedimiento sancionador, pero no sobre lo que se nos solicitó en el marco del EXP202307414, que en ningún momento nos hemos negado a aportar y, de hecho, como dijimos más arriba, consta en el expediente.” MEYDIS se queja de una “Incongruencia omisiva y deficiente motivación de la Propuesta de Resolución”. MEYDIS se refiere a la necesidad de motivación sostenida por la Sentencia 713/2020, de 9 de junio de 2020, de la Sala Tercera de lo Contencioso Administrativo del Tribunal Supremo y por el artículo 35 de la LPACAP y dice que “la Propuesta de Resolución incurre en varias omisiones en relación con los argumentos de defensa formulados por esta parte, lo que, de hecho, no nos permite conocer los motivos concretos por los que se rechazan dichas alegaciones. Así sucede en relación con las siguientes alegaciones: Nuestra respuesta al segundo requerimiento de la AEPD se basó en lo que entendimos que se nos estaba solicitando, dada la contradicción existente entre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/22 requerimiento y la oscura aclaración que después nos remitió el inspector, teniendo en cuenta, además, que el primer requerimiento se refería, exclusivamente, a los datos del INE, que el segundo requerimiento decía que su finalidad era la de aclarar la información facilitada en relación con el primero y que la aclaración de la AEPD dice expresamente que su solicitud sobre el RAT como encargado del tratamiento “no se trata de una solicitud sobre la totalidad de los clientes de Meydis”. Ello sólo nos pudo llevar a creer que no se nos estaba pidiendo la relación de clientes, sino sólo el contenido de los tratamientos como encargado. Nada expresa la Propuesta de Resolución para explicar por qué se rechaza esta alegación. Hemos actuado bajo la lógica convicción de que nuestra actuación había sido la correcta, porque no se recibió absolutamente ninguna comunicación posterior del inspector informándonos de que lo que quería que aportásemos era otra cosa, habiendo pasado casi 9 meses entre nuestra respuesta y la apertura del presente procedimiento. Nada dice la instructora en su Propuesta de Resolución para explicar por qué rechaza este argumento. En relación con la alegación de ausencia de culpabilidad, la AEPD se limita reproducir la literalidad de determinadas sentencias que hablan de la culpabilidad, sin conectarlas en modo alguno con nuestras argumentaciones, y a copiar, extractada y fuera de su contexto, la frase “nuestra negativa a aportar lo que pide el Acuerdo de Inicio”, como base de nuestra culpabilidad, sin contradecir los argumentos esgrimidos por esta parte que son justificativos de dicha falta de culpa, conforme a lo dicho más arriba. Por todo ello, la Propuesta de Resolución nos sitúa en una posición de indefensión, al incurrir en incongruencia omisiva y adolecer, así, de falta de motivación”. En relación con la cuantía de la sanción propuesta, MEYDIS dice que “considerando la fecha de la Propuesta de Resolución, el volumen de negocio que se debe tener en cuenta no es el del año 2023, sino el de 2024. En éste, la facturación de Meydis fue de 10.628.929,61 € (…) Siendo la cifra de facturación de 2024 un 22% inferior a la del año 2023, la cuantía que la AEPD debe considerar como base para el cálculo de la multa se debe modular en la Resolución que se dicte, al menos en esa misma proporción. Además, la propuesta de Resolución no entra a valorar el resto de elementos que legalmente se imponen para el cálculo de la multa en el RGPD, la LOPDGDD y las Directrices 04/2022, del Comité Europeo de Protección de Datos. En concreto, no se ha considerado el factor establecido en el artículo 83, apartado 2, letra b), del RGPD: la intencionalidad o negligencia en la infracción. (…) Y, en el presente caso, de haber existido infracción, no se habría producido de forma intencionada, sino por no haber entendido correctamente el requerimiento de información de la AEPD y haber confiado en que nuestra respuesta había sido correcta, al no haber tenido noticias posteriores hasta la apertura de este expediente sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/22 Por otra parte, MEYDIS dice que, “una vez fijado ese punto de partida, a la cantidad calculada han de aplicarse las modificaciones derivadas de las circunstancias que concurran, lo cual tampoco hace la Propuesta de Resolución. Así, se obvia la aplicación de las atenuantes que nos asisten en el presente supuesto, que, conforme al art 76.2 LOPDGDD, son, al menos, las siguientes:
3. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. Fue la conducta del inspector la que indujo a mi representada a actuar del modo que se nos imputa. (…)
4. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. Meydis tiene designado un DPD de forma voluntaria”. Por las razones expuestas, MEYDIS pide que se declare el archivo del presente procedimiento. “Subsidiariamente a lo anterior, que se reduzca el importe de la multa propuesta, de conformidad con las circunstancias expuestas”. VIGÉSIMO: Recogido nuevamente informe de la herramienta AXESOR en relación con las últimas cuentas depositadas por la entidad MEYDIS, S.L., el volumen de negocios del año 2024 asciende a 10.628.930 euros. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Los requerimientos de información indicados en los antecedentes segundo, tercero, sexto y séptimo fueron notificados con arreglo a lo dispuesto en la LPACAP. SEGUNDO: MEYDIS no ha respondido de forma completa a los requerimientos de información efectuados por esta Agencia en el marco de las actuaciones de investigación del expediente EXP202307414. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/22 En su primera alegación, MEYDIS afirma, por una parte, que “no ha existido ninguna intención de obstaculizar la actuación inspectora o de no aportar a la AEPD la información que se nos ha solicitado.” No obstante, la misma MEYDIS habla en su escrito de alegaciones de “nuestra negativa a aportar lo que pide el Acuerdo de Inicio”. Por otra parte, MEYDIS expone que ha “colaborado plenamente en los requerimientos que se nos han hecho. Si hay información que el inspector deseaba obtener y no obtuvo, fue sólo el resultado de su propia actuación, por la falta de claridad y contradicción en la redacción de sus escritos y por la omisión de cualquier petición o aclaración posterior.” Al respecto, cabe destacar que, como se recoge en el hecho sexto, en el requerimiento notificado a MEYDIS con fecha 6 de febrero de 2024, en su punto primero, se solicitaba, en relación con el Registro de Actividades de Tratamiento (RAT) como encargado de tratamiento de datos personales, “El listado de cada uno de los responsables de tratamiento por cuenta de los cuales se realiza algún encargo (clientes de MEYDIS), así como la categoría de tratamiento realizada.” Dicho requerimiento, como se recoge en el hecho séptimo, fue reiterado en escrito notificado a MEYDIS con fecha 15 de febrero de 2024 y a su DPD con fecha 14 de febrero de 2024. A mayor abundamiento, se recuerda que dicho escrito incluía además la siguiente precisión sobre la información solicitada: “En el apartado primero del requerimiento se solicita el listado de responsables de tratamiento por cuenta de los cuales se realizan actividades de encargo de tratamiento de datos personales, con respecto a esta petición, aclarar que no se trata de una solicitud sobre la totalidad de los clientes de MEYDIS SL, sino de la información que, atendiendo al artículo 30.2 (apartado
5. a)del RGPD, debe incorporar el Registro de Actividades de Tratamiento cuando se actúa como encargado, no localizándose este listado en la documentación aportada en la respuesta al primer requerimiento.” MEYDIS considera que dicha aclaración resulta contradictoria y que “la información sobre las categorías de tratamientos realizados en calidad de encargado (RAT como encargado) sí fue incluida, como ANEXO I, en el escrito que presentamos en fecha 6 de marzo de 2024”. Sin embargo, dicho anexo consta de una única página que muestra una tabla bajo el título “TRATAMIENTOS DE DATOS PERSONALES REALIZADOS POR MEYDIS PARA SUS CLIENTES EN CALIDAD DE ENCARGADO DEL TRATAMIENTO”. No se incluye, pues, el listado solicitado de responsables de tratamiento por cuenta de los cuales se realizan actividades de encargo de tratamiento de datos personales, el cual es preceptivo según el artículo 30.2 (apartado
6. a)del RGPD, cuya literalidad es la siguiente: “el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos”. En su segunda alegación, MEYDIS sostiene “la ausencia de culpabilidad de MEYDIS en los hechos imputados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/22 En cuanto al requisito de culpabilidad para la imposición de sanción administrativa basada en las infracciones contenidas en los apartados 4 a 6 del artículo 83 del RGPD, ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana.” Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011, recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.” A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Asimismo, se recuerda que MEYDIS no aportó a esta Agencia la información requerida ni siquiera tras la aclaración de que lo que se solicitaba era el listado de responsables de tratamiento por cuenta de los cuales se realizaban actividades de encargo de tratamiento de datos personales, con la información que, atendiendo al artículo 30.2.a del RGPD, debe incorporar el Registro de Actividades de Tratamiento cuando se actúa como encargado. La misma MEYDIS, en sus alegaciones, habla de “nuestra negativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/22 a aportar lo que pide el Acuerdo de Inicio”. Por lo tanto, se desestima la falta de culpabilidad. En su tercera alegación, por una parte, MEYDIS afirma que se “entremezclan” dos procedimientos y opina que “Esta situación es flagrantemente irregular”. Al respecto, cabe señalar que el objeto del presente procedimiento sancionador es la falta de respuesta a los requerimientos realizados en el marco de las actuaciones con número de expediente EXP202307414. Por otra parte, MEYDIS afirma que “nuestra negativa a aportar lo que pide el Acuerdo de Inicio (…) se impone legalmente” porque, dice, “no se entiende que, si la información solicitada en el Acuerdo SEGUNDO sigue siendo necesaria para el desempeño de las tareas de investigación de la AEPD, no se nos haya solicitado nada en estos últimos 9 meses”. También argumenta MEYDIS que “el expediente de diligencias previas (…) ya ha caducado (…) Dicha caducidad, además de imponer a la Administración Pública su apreciación de oficio, impide ya seguir practicando diligencias en el marco de aquel expediente, incluida la aportación al mismo de nuevos documentos, ya que ha finalizado”. Al respecto, es relevante destacar que el requerimiento de información cuya falta de respuesta dio origen al presente procedimiento sancionador se remitió de forma reiterada a MEYDIS en el marco de las actuaciones de investigación del expediente EXP202307414. Dichas actuaciones previas de investigación tenían como finalidad lograr una mejor determinación de los hechos y las circunstancias que pudieran justificar, en su caso, la tramitación de un procedimiento sancionador. El hecho de que tales actuaciones hayan concluido no determina per se el cierre de dicho expediente. Adicionalmente, cabe señalar que el tipo infractor se completa con la falta de respuesta a la información requerida y no se condiciona a las eventuales consecuencias de su falta de observación, y que corresponde a esta Agencia valorar la necesidad para la investigación de la información requerida en el momento en que se realiza. Lo contrario supondría aceptar que no es posible exigir el cumplimiento de la obligación legal de atender los requerimientos de información de esta Agencia en tanto no se finalicen las actuaciones y se determine cuál es su resultado. Por todo lo expuesto, no cabe acceder a la solicitud de MEYDIS respecto al archivo del presente expediente sancionador. III Alegaciones a la Propuesta de resolución En respuesta a las alegaciones a la Propuesta de resolución del presente expediente presentadas por MEYDIS se debe señalar lo siguiente. Las alegaciones presentadas contra la propuesta de resolución de este expediente reproducen en su mayoría los mismos argumentos esgrimidos contra el Acuerdo de inicio y que, por tanto, ya han sido contestados por esta Agencia en el anterior Fundamento de Derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/22 En relación con la frase “nuestra negativa a aportar lo que pide el Acuerdo de Inicio”, MEYDIS aclara que la negativa se refería a “aportar esa información en el contexto de este procedimiento sancionador, pero no sobre lo que se nos solicitó en el marco del EXP202307414, que en ningún momento nos hemos negado a aportar y, de hecho, como dijimos más arriba, consta en el expediente.” No obstante, como ya se explicó en el Fundamento de Derecho anterior, el listado solicitado de responsables de tratamiento por cuenta de los cuales se realizan actividades de encargo de tratamiento de datos personales, el cual es preceptivo según el artículo 30.2 (apartado
7. a)del RGPD, no fue aportado por MEYDIS. En relación con la cuantía de la sanción propuesta, han sido tenidos en cuenta tanto el principio de proporcionalidad como criterios de graduación. Resulta relevante señalar que la información requerida a MEYDIS sigue sin ser aportada, a pesar de la respuesta de esta Agencia a las alegaciones al Acuerdo de inicio del presente procedimiento sancionador recogida en el Fundamento de Derecho anterior y a la orden contenida en dicho Acuerdo de inicio. No cabe, por tanto, hablar de ausencia de intencionalidad. MEYDIS sostiene que debería considerarse como circunstancia atenuante que disponga de un delegado de protección de datos de forma voluntaria. Al respecto, se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. Por lo tanto, no puede considerarse como atenuante lo que es un deber legal del responsable del tratamiento. Por último, en el Fundamento de Derecho VI de la Propuesta de resolución, bajo el título de Propuesta de sanción, se indica que, para garantizar una aplicación coherente del RGPD, se toman en consideración las Directrices 04/2022 formuladas por el Comité Europeo de Protección de Datos sobre el cálculo de multas bajo el RGPD. Al respecto, cabe destacar que, en dicha Propuesta de resolución, la fijación de la multa se realizó con base en el volumen de negocio de MEYDIS correspondiente al ejercicio 2023, al ser los últimos datos disponibles en aquel momento en el informe de la herramienta AXESOR conforme a las últimas cuentas depositadas en el Registro Mercantil. Según las cuentas anuales del ejercicio 2024 presentadas por la empresa, esta Agencia procedió a revisar el importe de la multa correspondiente a MEYDIS. Como resultado de dicha revisión, se concluyó que, aunque la facturación de MEYDIS se redujo, esta disminución no ha supuesto un cambio en su clasificación por tamaño, ya que su volumen de negocio en ambos ejercicios la mantiene en la misma categoría. Por tanto, no procede modificar el importe de la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/22 Tomando en consideración todo lo expuesto, no procede el archivo del presente procedimiento sancionador ni modificar el importe de la multa administrativa fijada. IV Obligación incumplida A tenor de los hechos expuestos, se considera que MEYDIS no ha procurado a la Agencia Española de Protección de Datos la información que le requirió. Con la señalada conducta de MEYDIS, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable a MEYDIS, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación: “
8. a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones.” V Tipificación y calificación de la infracción Esta infracción se tipifica en el artículo 83.5.
9. e)del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1.” En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.” VI Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/22 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
10. a)a
11. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
12. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
13. b)la intencionalidad o negligencia en la infracción;
14. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
15. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
16. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
17. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
18. g)las categorías de los datos de carácter personal afectados por la infracción;
19. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
20. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
21. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
22. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/22 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
23. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
24. a)El carácter continuado de la infracción.
25. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
26. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
27. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
28. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
29. f)La afectación a los derechos de los menores.
30. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
31. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Asimismo, para garantizar una aplicación coherente del RGPD, se han de tomar en consideración las Directrices 04/2022 formuladas por el Comité Europeo de Protección de Datos sobre el cálculo de multas bajo el RGPD. En este caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de MEYDIS. Asimismo, el RGPD prevé importes máximos en el artículo 83, apartados 4 a 6, en el que se agrupan varios tipos de conducta diferentes. A este respecto, se reseña que la infracción determinada en este procedimiento se tipifica en el artículo 83.5 del RGPD, por tanto, dentro del conjunto de infracciones de mayor gravedad que cuentan con un rango sancionador más alto. Finalmente, se ha de señalar la gravedad de la infracción con arreglo al artículo 83.2.a), por su naturaleza, dados los intereses protegidos y su lugar en el marco de la protección de los datos personales. Al no presentar una respuesta adecuada al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/22 requerimiento de información realizado, se desobedecen los poderes de investigación de los que el RGPD dota a las autoridades de control, y así se obstaculiza la función de control encomendada por el RGPD a estas, impidiendo supervisar la efectiva aplicación del RGPD y el cumplimiento de los objetivos que persigue. En atención a las circunstancias expuestas, se considera que corresponde imputar una sanción a MEYDIS por la vulneración del artículo 58.1 del RGPD tipificada en el artículo 83.5
32. e)del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de 80.000,00 euros. VII Pago voluntario anterior a la resolución El artículo 85 de la LPACAP, bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 64.000 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, MEYDIS, en fecha 10 de julio de 2025 procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/22 Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PRIMERO: IMPONER a MEYDIS, S.L., con NIF B28652121, por una infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 80.000,00 € (OCHENTA MIL euros), que tras aplicar una reducción del 20% sobre esta cuantía el importe se reduce a 64.000,00 € (SESENTA Y CUATRO MIL euros), por haberse realizado el pago voluntario de dicha cantidad con anterioridad a la resolución. Todo ello de conformidad con lo dispuesto en el artículo 85.3, en relación con el artículo 85.2, de la LPACAP. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: ORDENAR a MEYDIS, S.L., con NIF B28652121, que, de acuerdo con el poder de investigación dispuesto en el artículo 58.1.
33. a)del RGPD, se facilite, en el plazo de diez días hábiles, la información requerida en los requerimientos realizados en el marco de las actuaciones con número de expediente EXP202307414. TERCERO: NOTIFICAR la presente resolución a MEYDIS, S.L. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
34. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
35. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/22 el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es