← España

PS-00511-2023

1/24  Expediente N.º: EXP202213323 RESOLUCIÓN VOLUNTARIO DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SHANGHAI MOONTON TECHNOLOGY CO. LTD (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202213323 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 21 de noviembre de 2022, se notificó a esta Agencia una violación de la seguridad de los datos personales remitido por SHANGHAI MOONTON TECHNOLOGY CO. LTD con NIF en China 91310101091821567U (en adelante, MOONTON) como responsable del tratamiento. Como consecuencia de los hechos conocidos, con fecha 12 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos ordenó realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. En el escrito recibido se informaba de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid o Fecha de inicio de la brecha: 02/11/2022. o Fecha de detección de la brecha: 04/11/2022. o Los datos no están cifrados. o Resumen del incidente: “(…)” o Categoría de datos afectados: datos de contacto y datos de perfiles. o Categoría de afectados: usuarios. www.aepd.es sedeagpd.gob.es 2/24 o Número de afectados: 839 en España. Más de 20.000 afectados en todos los Estados de la Unión, se ha notificado a todas las Autoridades de Control de la Unión. o No se ha puesto en conocimiento de autoridades policiales. o Los afectados no serán comunicados. SEGUNDO: Con fecha 29 de diciembre de 2022, MOONTON realizó una notificación adicional de la violación de la seguridad de los datos personales, en la que manifestaba: “Tal y como se indicó en la notificación inicial, Shanghai Moonton Technology Co. Ltd ("Moonton") sufrió, el 2 de noviembre de 2022, una violación de la seguridad de sus datos al publicarse cierta información relacionada con los usuarios de su Foro en una página web tercera. (…)” TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) MOONTON es un desarrollador y editor de videojuegos de nacionalidad china con sede en Shanghai. Según datos obrantes en la página web de MOONTON y https://hmong.es/wiki/Moonton, MOONTON fue fundada en 2014 y es conocida por el juego “Mobile Legends: Bang Bang”, juego multijugador online lanzado en 2016. El 22 de marzo de 2021, el desarrollador de Tik Tok, BABE, Resso y Lark, ByteDance, a través de su filial de videojuegos Nuverse, adquirió MOONTON. 2) En fecha 21 de marzo de 2023 tuvo entrada en el registro de la AEPD respuesta inicial a un requerimiento de la APED, número de registro ***REGISTRO.1, y en fecha 27 de marzo de 2023 documentación complementaria, números de registro ***REGISTRO.2 y ***REGISTRO.3. En fechas 17 y 22 de mayo de 2023 tiene entrada de nuevo en el registro de la AEPD documentación de MOONTON ya presentada anteriormente. En fecha 12 de junio de 2023 esta Agencia solicita información adicional. En fecha 7 de julio de 2023 tiene entrada en el registro de la AEPD la respuesta de MOONTON a este requerimiento, número de registro ***REGISTRO.4. Una vez revisada la documentación aportada por MOONTON se extrae la siguiente información relevante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final - 2 de noviembre de 2022: Fecha de publicación de los datos personales de los miembros del Foro en un sitio web de un tercero (***URL.1) (el “Sitio Web”). - 3 de noviembre de 2022: Fecha en la que un miembro del equipo de seguridad de la Sociedad, mientras ejercía sus labores de monitorización y salvaguarda de la seguridad de la información de la compañía y sus usuarios, identificó la publicación de los datos en el Sitio Web. (…) - 4 de noviembre de 2022 a 16 de noviembre de 2022: La Sociedad continuó con la investigación de la violación de la seguridad de los datos para concretar el alcance de la misma y determinar las medidas adicionales que la Sociedad podría implementar para limitar cualquier daño o perjuicio que los usuarios afectados puedan sufrir. En ese sentido, el 4 de noviembre de 2022 la Sociedad confirmó que algunos de los usuarios afectados por la violación se encontraban localizados en el Espacio Económico Europeo. (…) Respecto de las causas que hicieron posible la violación de la seguridad de los datos personales (…) Respecto de los datos afectados (…) Estas categorías de datos incluían: (

  1. i)nombre de usuario en el Foro y el número de identificación de usuario (User ID); (
  2. ii)el número de visitas de los usuarios a los espacios de usuario (user space) del Foro; (iii) el sexo declarado por los usuarios (p.ej. masculino, femenino o secreto); y (
  3. iv)la actividad en el Foro, lo que incluye la “reputación”, “riqueza” y “contribución” al Foro, todo ello vinculado a las publicaciones de los usuarios, la participación en el foro y las interacciones entre usuarios. Cabe destacar que la única información no pública para todos los usuarios del Foro (…), era: (
  4. i)la dirección del email dada por los usuarios para registrarse en el Foro; (
  5. ii)la fecha de registro en el Foro; (iii) la fecha y hora de la última actividad de cada usuario en el Foro; y (
  6. iv)la dirección IP del usuario (tanto la dirección IP de registro como la dirección IP de la última visita). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 (…) MOONTON manifiesta que el número total de usuarios del Foro a nivel mundial es de, aproximadamente, 800.670 usuarios. Y añade que le interesa clarificar que, pese a que en las notificaciones de la brecha enviadas a la AEPD se indicó que 839 usuarios del Foro ubicados en España se habían visto afectados por el incidente, tras las últimas investigaciones ha confirmado que el número total de usuarios ubicados en España afectados es de 442. La Sociedad ha determinado esta cantidad tras analizar las direcciones IP asociadas con las cuentas afectadas por la brecha. La Sociedad no recaba datos de sus usuarios relativos a su nacionalidad o país de nacimiento. Asimismo, manifiesta que identificó la localización de todos los interesados afectados por la brecha y que procedió a notificarla a todas las autoridades de control correspondientes. En resumen, los datos que se han visto afectados son los datos relativos al nombre del usuario del Foro e ID de usuario (estos datos son públicos en el propio Foro), así como la dirección de email y la dirección IP. Medidas de seguridad implantadas - Medidas de seguridad implantadas con anterioridad a la brecha en los tratamientos de datos donde se ha producido. (…) - Motivo por el cual las medidas de seguridad implantadas no han impedido el incidente. (…) - Medidas técnicas y organizativas adoptadas para evitar, en lo posible, incidentes como el sucedido. (…) Respecto de la notificación con posterioridad a las 72 horas MOONTON manifiesta que la Sociedad tuvo conocimiento de la violación de la seguridad de los datos de seguridad el día 3 de noviembre de 2022, iniciando en ese momento una investigación interna con el objetivo de identificar el alcance e impacto de esta sobre los derechos y libertades de los interesados afectados. Aunque el día 4 de noviembre de 2022 la Sociedad ya tuvo conocimiento de que varios usuarios localizados en el Espacio Económico Europeo habían podido verse afectados, continuó con sus investigaciones hasta el día 16 de noviembre para confirmar la naturaleza del incidente, su alcance y el número de interesados afectados en cada Estado Miembro. Sin perjuicio de lo anterior, conforme iba obteniendo y verificando la información obtenida en el marco de la investigación, así como identificando el número de usuarios afectados en cada jurisdicción, la Sociedad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 procedía a notificar la violación de la seguridad de los datos a las autoridades de control competentes y a bloquear el acceso al Foro en dichas jurisdicciones. En este sentido, la Sociedad comenzó a notificar el incidente a las autoridades de control competente el día 11 de noviembre de 2022. Añade, cabe destacar que la Sociedad no tiene un establecimiento legal en España, por lo que, antes de poder realizar la correspondiente notificación ante la AEPD, ha tenido que contactar y contratar a un asesor legal que sí se encuentre ubicado en este país (así ha ocurrido también en el resto de los 27 Estados de la Unión Europea) para poder preparar la debida notificación y recabar la información requerida por cada autoridad de control. Esto incluyó la preparación de la documentación necesaria para que el asesor legal en España pudiera realizar la presentación de la notificación pertinente ante la AEPD, lo que provocó retraso en el envío de la notificación a la AEPD. MOONTON manifiesta que la Sociedad no cuenta, por no estar obligada a ello, con un certificado digital a través del cual poder acceder a la Sede Electrónica de la AEPD y realizar la correspondiente notificación por lo que la misma tuvo que realizarse a través de correo postal (aunque se intentó realizar la misma a través de correo electrónico). Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo MOONTON manifiesta que no tiene conocimiento de ningún incidente o violación de la seguridad de los datos que se haya producido con anterioridad a la notificada a la AEPD y no ha recibido, hasta la fecha, reclamación o solicitud alguna de interesados en España en relación con esta violación de la seguridad de los datos. Tampoco ha identificado ninguna otra publicación o divulgación no autorizada de datos personales de los usuarios del Foro. 3) El 16 de octubre de 2023, en respuesta a requerimiento de esta Agencia, MOONTON ha manifestado que ha designado como representante en la Unión Europea a la compañía ***EMPRESA.1, con sede en Irlanda el 25 de enero de 2023, en cumplimiento del artículo 27 del RGPD. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que MOONTON realizaba la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: correo electrónico y dirección IP, entre otros tratamientos. MOONTON realizaba esta actividad en su condición de responsable del tratamiento, dado que era quien determinaba los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Minimización de datos El artículo 5.1.
  7. c)del RGPD “Principios relativos al tratamiento” establece: “1. Los datos personales serán: (…)
  8. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)” En el presente caso, MOONTON había dado acceso a los Moderadores a los siguientes datos personales de los usuarios ubicados en España del Foro: (
  9. i)nombre de usuario en el Foro y el número de identificación de usuario (User ID); (
  10. ii)el número de visitas de los usuarios a los espacios de usuario (user space) del Foro; (iii) el sexo declarado por los usuarios (p.ej. masculino, femenino o secreto); y (
  11. iv)la actividad en el Foro, lo que incluye la “reputación”, “riqueza” y “contribución” al Foro, todo ello vinculado a las publicaciones de los usuarios, la participación en el foro y las interacciones entre usuarios. Si bien MOONTON ha destacado que la única información no pública para todos los usuarios del Foro a la que los moderadores tenían acceso, era: (
  12. i)la dirección del email dada por los usuarios para registrarse en el Foro; (
  13. ii)la fecha de registro en el Foro; (iii) la fecha y hora de la última actividad de cada usuario en el Foro; y (
  14. iv)la dirección IP del usuario (tanto la dirección IP de registro como la dirección IP de la última visita). La finalidad para la que se había dado acceso a los Moderadores a tales datos era moderar los Foros de los juegos de MOONTON, para lo cual MOONTON les había otorgado permisos de administrador que les permitían tener acceso a esta información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 relativa a los usuarios del Foro para poder llevar a cabo, principalmente, las labores de moderación de las conversaciones, lo que implicaba, por ejemplo: (
  15. i)la revisión y eliminación de publicaciones; (
  16. ii)el bloqueo o eliminación de acceso al Foro de ciertos usuarios; (iii) la respuesta a consultas que realizaban los usuarios; y (
  17. iv)la aprobación de solicitudes de registro de nuevos usuarios en el Foro. Al respecto, esta Agencia considera que para poder moderar tales Foros y eliminar las publicaciones de los usuarios o impedir el acceso al Foro, y revisar la respuesta a las consultas o aprobar nuevos usuarios, no era necesario que los Moderadores tuvieran acceso a toda esa información, en especial, la dirección de correo electrónico y la dirección IP del usuario. Es opinión de que estos datos no resultaban pertinentes para realizar tales labores y tampoco estaban estrictamente limitados a los fines para los que se trataban. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a MOONTON, por vulneración del artículo transcrito anteriormente. IV Tipificación y calificación de la infracción del artículo 5.1.
  18. c)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  19. c)del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  20. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  21. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 V Propuesta de sanción por la infracción del artículo 5.1.
  22. c)del RGPD Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por haber otorgado acceso a los Moderadores de los Foros a más datos de los estrictamente necesarios para desempeñar su labor, lo cual afectó a los datos personales de, como mínimo, 442 interesados, al menos hasta el 11 de noviembre de 2022. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la actividad de MOONTON requiere un tratamiento habitual de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  23. c)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 30.000 euros. VI Integridad y confidencialidad El artículo 5.1.
  24. f)del RGPD “Principios relativos al tratamiento” establece: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 (…)
  25. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” En el presente caso, se han publicado en una página web de un tercero los datos de nombre del usuario e ID de usuario, dirección de email y dirección IP de 442 usuarios ubicados en España. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a MOONTON, por vulneración del artículo transcrito anteriormente. VII Tipificación y calificación de la infracción del artículo 5.1.
  26. f)del RGPD De confirmarse, la citada infracción del artículo 5.1.
  27. f)del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  28. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  29. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VIII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 Propuesta de sanción por la infracción del artículo 5.1.
  30. f)del RGPD Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por haberse publicado en un sitio web de un tercero los datos nombre del usuario e ID de usuario, dirección de email y dirección IP de 442 usuarios ubicados en España. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la actividad de MOONTON requiere un tratamiento habitual de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  31. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 30.000 euros. IX Medidas de seguridad El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, MOONTON contaba con un rol de moderador para, precisamente, moderar las discusiones que se encontrasen activas en los Foros de sus juegos. En este sentido, por ejemplo, se encargaba de revisar y/o eliminar publicaciones, bloquear el acceso al Foro de aquellos usuarios que incumplían sus normas, responder a preguntas de los usuarios, aprobar solicitudes de registro, entre otras. Para ello, MOONTON le había otorgado al Moderador derechos de administrador que le permitían acceder a los siguientes datos de los usuarios del Foro: (
  32. i)nombre de usuario en el Foro y el número de identificación de usuario (User ID); (
  33. ii)el número de visitas de los usuarios a los espacios de usuario (user space) del Foro; (iii) el sexo declarado por los usuarios (p.ej. masculino, femenino o secreto); y (
  34. iv)la actividad en el Foro, lo que incluye la “reputación”, “riqueza” y “contribución” al Foro, todo ello vinculado a las publicaciones de los usuarios, la participación en el foro y las interacciones entre usuarios. El Moderador no tenía la condición de empleado de MOONTON, ni era un empleado de un prestador de servicios/subcontratista de MOONTON. El Moderador era un mero usuario del Foro que, voluntariamente, se ofreció a ayudar a moderar el Foro. MOONTON exigió al Moderador que se adhiriese al Código de Conducta para Proveedores de Servicios Externos en su calidad de moderador. Este Código se ponía a disposición de todos los moderadores, los cuales, en su condición de usuarios del Foro, también habrían tenido que adherirse a la Regulación Básica del Foro y a los Términos y Condiciones del Foro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 En el documento “Código de Conducta para Proveedores de Servicios Externos de la Sociedad” de MOONTON (en su traducción al español) se indica, entre otros, que: “Los Proveedores de Servicios deberán realizar sus máximos esfuerzos para proteger… la información confidencial (incluidos, sin carácter limitativo, los datos de carácter personal) de Moonton y de sus clientes, debiendo abstenerse de ponerlos en conocimiento de terceros sin el previo consentimiento por escrito de Moonton, así como de usarlos o explotarlo para fines que no estén relacionados con la prestación del servicio” (punto 3.2 del documento). Y que: “Moonton está comprometido con la protección y la seguridad de su información… Las siguientes actuaciones constituirán incumplimiento de las obligaciones en materia de seguridad de la información de Moonton, cuyo incumplimiento será objeto de medidas disciplinarias de distinto grado en función de la gravedad. En caso de infracción de la ley, Moonton también colaborará con las autoridades judiciales competentes en las acciones legales que correspondan. (…)
  35. e)Adquirir, desvelar o vender datos personales o estadísticas de usuarios, socios de clientes u otros grupos de interés por medios indebidos o aprovechar su posición para violar la privacidad de terceros” (punto 3.3 del documento). Para convertirse en moderador, el Moderador rellenó un formulario de solicitud puesto a disposición de los usuarios por parte de MOONTON que posteriormente fue analizado por la Sociedad. Una vez aprobada la solicitud, el Moderador entró en un período de prueba de dos semanas, tras las cuales se convirtió en un moderador del Foro. Este procedimiento era común para todos los usuarios que deseaban ejercer como moderadores. Es decir, que MOONTON permitió el acceso a un usuario de sus juegos (a quien se le dio permisos de administrador) a los datos personales de otros usuarios ubicados en España, que no era empleado suyo ni de una empresa contratada o subcontratada por MOONTON, y al que se le facilitó los datos de correo electrónico y dirección IP de tales usuarios, sin más medidas de seguridad que una simple adhesión a un Código de Conducta y a la Regulación Básica del Foro y los Términos y Condiciones del mismo y un período de prueba de dos semanas. Al respecto, esta Agencia considera que tales medidas implantadas con anterioridad a producirse la violación de la seguridad de los datos personales resultaban a todas luces insuficientes y no pueden considerarse adecuadas en los términos del artículo 32 RGPD. No obstante, una vez que MOONTON tuvo constancia de que el Moderador había publicado los datos de otros usuarios del Foro en un sitio web tercero, procedió a bloquear su acceso al Foro y, adicionalmente, le informó de que su acceso al Foro había sido cancelado como consecuencia de la publicación no autorizada. Asimismo, MOONTON ha decidido deshabilitar permanentemente el Foro en todo el Espacio Económico Europeo. Para la toma de esta decisión, entre otros motivos, se ha tenido en cuenta el incidente ocurrido, los riesgos que puede suponer su continuidad para los derechos y libertades de los interesados localizados en la Unión Europea en relación con el negocio y actividad de la Sociedad, así como el hecho de que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 beneficios empresariales de gestionar este Foro no compensan los recursos necesarios para su mantenimiento. Y manifestó que el acceso al Foro seguirá bloqueado para los usuarios de la Unión Europea hasta que se produzca su cierre total y permanente durante el mes de abril de 2023. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a MOONTON, por vulneración del artículo transcrito anteriormente. X Tipificación y calificación de la infracción del artículo 32 del RGPD De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  36. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los dos años, conforme al artículo 73 de la LOPDGDD, que califica de grave la siguiente conducta: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  37. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. XI Propuesta de sanción por la infracción del artículo 32 del RGPD Esta infracción puede ser sancionada con multa de 10.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no tener implantadas las medidas de seguridad apropiadas al riesgo de que se produjera una violación de la seguridad de los datos personales como la que ha tenido lugar en el presente caso, que permitió que la confidencialidad de los datos de datos de nombre del usuario e ID de usuario, dirección de email y dirección IP de 442 usuarios ubicados en España se viera en riesgo. Como atenuantes: - Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción (apartado k): una vez que MOONTON tuvo constancia de que el Moderador había publicado los datos de otros usuarios del Foro en un sitio web tercero, procedió a bloquear su acceso al Foro y, adicionalmente, le informó de que su acceso al Foro había sido cancelado como consecuencia de la publicación no autorizada. Asimismo, MOONTON ha decidido deshabilitar permanentemente el Foro en todo el Espacio Económico Europeo, hasta su cierre total y permanente durante el mes de abril de 2023. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la actividad de MOONTON requiere un tratamiento habitual de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  38. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 15.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 XII Notificación a la autoridad de control El Artículo 33 “Notificación de una violación de la seguridad de los datos personales a la autoridad de control” del RGPD establece: “1. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación. 2. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento. 3. La notificación contemplada en el apartado 1 deberá, como mínimo:
  39. a)describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados;
  40. b)comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información;
  41. c)describir las posibles consecuencias de la violación de la seguridad de los datos personales;
  42. d)describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. 4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. 5. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.” En el presente caso, consta que MOONTON ha sufrido una violación de la seguridad de los datos personales en fecha 2 de noviembre de 2022, de la cual tuvo conocimiento el 4 de noviembre de 2022 y no ha informado a esta Agencia hasta el 21 de noviembre de 2022, fecha en que se notificó la citada violación de la seguridad, sin haber acreditado los motivos que justifiquen tal dilación. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 infracción, imputable anteriormente. a MOONTON, por vulneración del artículo transcrito XIII Tipificación y calificación de la infracción del artículo 33 del RGPD De confirmarse, la citada infracción del artículo 33 del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  43. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los dos años, conforme al artículo 73 de la LOPDGDD, que califica de grave la siguiente conducta: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  44. r)El incumplimiento del deber de notificación a la autoridad de protección de datos de una violación de seguridad de los datos personales de conformidad con lo previsto en el artículo 33 del Reglamento (UE) 2016/679. (…)” XIV Propuesta de sanción por la infracción del artículo 33 del RGPD Esta infracción puede ser sancionada con multa de 10.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no haber comunicado a la autoridad de protección de datos que se había producido una violación de la seguridad de los datos personales en el plazo de 72 horas, de la cual tuvo conocimiento el 4 de noviembre de 2022 y no se notificó hasta el 21 de noviembre de 2022, sin que pueda apreciarse la existencia de motivos legítimos que justifiquen dicha dilación Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la actividad de MOONTON requiere un tratamiento habitual de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  45. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 5.000 euros. XV Representantes de responsables del tratamiento no establecidos en la Unión El Artículo 27 “Representantes de responsables o encargados del tratamiento no establecidos en la Unión” del RGPD establece: “1. Cuando sea de aplicación el artículo 3, apartado 2, el responsable o el encargado del tratamiento designará por escrito un representante en la Unión. 2. La obligación establecida en el apartado 1 del presente artículo no será aplicable:
  46. a)al tratamiento que sea ocasional, que no incluyan el manejo a gran escala de categorías especiales de datos indicadas en el artículo 9, apartado 1, o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, y que sea improbable que entrañe un riesgo para los derechos y libertades de las personas físicas, teniendo en cuenta la naturaleza, contexto, alcance y objetivos del tratamiento, o
  47. b)a las autoridades u organismos públicos. 3. El representante estará establecido en uno de los Estados miembros en que estén los interesados cuyos datos personales se traten en el contexto de una oferta de bienes o servicios, o cuyo comportamiento esté siendo controlado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 4. El responsable o el encargado del tratamiento encomendará al representante que atienda, junto al responsable o al encargado, o en su lugar, a las consultas, en particular, de las autoridades de control y de los interesados, sobre todos los asuntos relativos al tratamiento, a fin de garantizar el cumplimiento de lo dispuesto en el presente Reglamento. 5. La designación de un representante por el responsable o el encargado del tratamiento se entenderá sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable o encargado.” Por su parte, el artículo 3 “Ámbito territorial” del RGPD dispone: “(…) 2. El presente Reglamento se aplica al tratamiento de datos personales de interesados que se encuentren en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:
  48. a)la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o
  49. b)el control de su comportamiento, en la medida en que este tenga lugar en la Unión. (…)” En el presente caso, MOONTON se encuentra establecida en China, si bien ofrece sus servicios a interesados en la Unión Europea, por lo que le resulta de aplicación lo dispuesto en el artículo 27 del RGPD. No obstante, MOONTON no había designado representante en la Unión Europea, en los términos de lo dispuesto en el artículo 27 del RGPD, como mínimo hasta finales de enero de 2023. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a MOONTON, por vulneración del artículo transcrito anteriormente. XVI Tipificación y calificación de la infracción del artículo 27 del RGPD De confirmarse, la citada infracción del artículo 27 del RGPD podría suponer la comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24
  50. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los dos años, conforme al artículo 73 de la LOPDGDD, que califica de grave la siguiente conducta: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  51. h)El incumplimiento de la obligación de designar un representante del responsable o encargado del tratamiento no establecido en el territorio de la Unión Europea, conforme a lo previsto en el artículo 27 del Reglamento (UE) 2016/679. (…)” XVII Propuesta de sanción por la infracción del artículo 27 del RGPD Esta infracción puede ser sancionada con multa de 10.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no haber designado representante en la Unión Europea hasta, al menos, el 25 de enero de 2023. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la actividad de MOONTON requiere un tratamiento habitual de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 27 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 10.000 euros. XVIII Imposición de medidas De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2
  52. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”., en la resolución que se adopte, se podrá requerir a MOONTON para que en el plazo de SEIS MESES notifique a esta Agencia que ha adoptado las medidas de seguridad adecuadas para ajustar su actuación a la normativa mencionada en este acto, sin perjuicio de otras que pudieran derivarse de la instrucción del procedimiento. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida, ni, en su caso, el pago voluntario de las cuantías propuestas eximen de la obligación de acreditar el cumplimiento de las medidas correctivas propuestas. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SHANGHAI MOONTON TECHNOLOGY CO. LTD con NIF en China 91310101091821567U, por la presunta infracción de los artículos 5.1.
  53. c)y 5.1.
  54. f)del RGPD, tipificadas en el artículo 83.5 del RGPD, y por la presunta infracción de los artículos 32, 33 y 27 del RGPD, tipificadas en el artículo 83.4 del RGPD. SEGUNDO: NOMBRAR como instructora a R.R.R. y, como secretaria, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la violación de la seguridad de los datos personales, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  55. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción, de multa administrativa de 90.000,00 euros en total, repartidos de la siguiente forma: - Por la supuesta infracción del artículo 5.1.
  56. c)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 30.000,00 euros. - Por la supuesta infracción del artículo 5.1.
  57. f)del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 30.000,00 euros. - Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 15.000,00 euros. - Por la supuesta infracción del artículo 33 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 5.000,00 euros. - Por la supuesta infracción del artículo 27 del RGPD, tipificada en el artículo 83.4 de dicha norma, multa administrativa de cuantía 10.000,00 euros. QUINTO: NOTIFICAR el presente acuerdo a SHANGHAI MOONTON TECHNOLOGY CO. LTD con NIF en China 91310101091821567U, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  58. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 72.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 la sanción quedaría establecida en 72.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 54.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (72.000,00 euros o 54.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-270423 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 2 de enero de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 72000 euros haciendo uso de una de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado acreditado el reconocimiento de responsabilidad. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere el Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202213323, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR TECHNOLOGY CO. LTD. la presente resolución a SHANGHAI MOONTON De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  59. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 937-17112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.