← España

PS-00517-2023

1/21  Expediente N.º: EXP202310442 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202310442 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: B.B.B. en adelante, la parte reclamante) interpuso con fecha 21 de junio de 2023 reclamación ante la Agencia Española de Protección de Datos dirigida contra A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante se identifica como trabajadora de un establecimiento***EMPRESA.1, sito en ***DIRECCION.1) del que es responsable la parte reclamada e indica que, en dicho establecimiento, se encuentra instalado un sistema de videovigilancia que no se encuentra debidamente señalizado mediante los preceptivos carteles informativos de zona videovigilada y sin que se haya informado a los trabajadores sobre dicho sistema. Señala asimismo que existe una pantalla de control con las imágenes de diferentes cámaras de videovigilancia a la vista desde cualquier punto del establecimiento, incluido a la vista de cualquier cliente que se encuentre en el mismo. También indica que el sistema graba sonido (menciona a este respecto la existencia de 7 vídeos aportados como prueba en un procedimiento judicial (...), que ellos aportaron de grabaciones con audio), que la parte reclamada no destruye las imágenes transcurridos 30 días (al respecto menciona que en el procedimiento indicado también han aportado 5 videos de 14 a 15 meses de antigüedad sin que en lo relativo a esas imágenes haya habido alguna denuncia o causa justificada para su almacenamiento), que no disponen de registro de actividades de tratamiento, y que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 existen cámaras que pudieran captar la vía pública, incluso en algún momento algún cliente se ha quejado de esta situación. Acompaña la reclamación con la siguiente documentación: - Imagen denominada foto_2.jpg en el que se vislumbra un monitor con imágenes de un sistema de videovigilancia. Imagen denominada foto_3.jpg que muestra la fachada, así como algunas mesas instaladas en la terraza y en el interior del establecimiento. Video denominado video1.mp4, de 1’36’’ de duración que graba el momento de entrada de la reclamante en el establecimiento para el comienzo de su jornada laboral, en un día que identifica como 6 de diciembre, a las 07:50 Video denominado video2.mp4, de 34’’de duración, en el que se muestra el momento de inicio de la jornada laboral de la reclamante, a las 08:25. Entre la documentación aportada no figuran las grabaciones con sonido a las que hace referencia la reclamación ni los vídeos de 14 a 15 meses de antigüedad que indica encontrarse aportados en un procedimiento judicial. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado en fecha 21/07/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 21 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 22/09/2023, se recibe en esta Agencia escrito de respuesta a la actuación de traslado practicada en el que se indica lo siguiente: -Datos del responsable del sistema de videovigilancia: A.A.A. ***NIF.1 -Fotos de las 8 camaras de videovigilancia que hay en mi establecimiento -Fotos de los carteles existentes avisando de la existencia de la zona videovigilada, asi como el cartel donde se informa del responsable del tratamiento de datos -Foto de la pantalla del movil donde se ven las grabaciones. ahora no existe ningún monitor donde se reproduzcan las imagenes, si no que se hace en el movil del titular del tratamiento de datos mediante una aplicacion que dispone de una contraseña de acceso. Queremos declarar que no se utilizan las camaras para el cotnratol laboral. No hay ninguna empresa contratada para la seguridad El plazo del que se conservan las imagenes es una semana C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 Solicita: que se acepte la documentacion enviada y las declaraciones efectuadas y se archive el expediente sin mas tramite Junto con el escrito de respuesta a la actuación de traslado, se aporta la siguiente documentación: - Imagen denominada APLICACIÓN MÓVIL CÁMARAS.jpg en la que queda resaltada con un círculo en blanco una aplicación. - Imagen denominada PANTALLA DEL MÓVIL.png en la que, identificadas con caracteres chinos, se visualizan 9 imágenes, correspondiéndose 8 de ellas a las que se visualizan a través de 8 cámaras de videovigilancia. De esas 8 imágenes, 4 (cámaras 03, 05, 07 y 08) permiten visualizar diversas zonas del comedor del establecimiento (en una de ellas, la 05, incluso se visualiza a un cliente de espaldas), 2 (cámaras 01 y 02) una zona de barra, 1 (cámara 04) una caja registradora y otra (cámara 06) una máquina de juegos de azar o tragaperras. La cámara 01 también permite visualizar la entrada del establecimiento, incluyendo una porción de vía pública y la cámara 08 permite también visualizar la máquina de venta de tabaco. - Documento denominado cámaras 1

(6).pdf en el que se contienen 8 imágenes de igual número de cámaras de videovigilancia instaladas por todo el establecimiento. En dos de ellas se aprecia claramente que enfocan, respectivamente, a la caja registradora y a la zona de máquinas de juegos de azar o tragaperras. El resto parecen orientadas a diversos puntos del establecimiento. - Documento denominado carteles.pdf en el que figura la fotografía de un cartel de ZONA VIDEOVIGILADA, en el que se hace referencia a la Ley Orgánica 15/1999, de protección de datos, y que identifica a la reclamada como la parte ante la que se pueden ejercer los derechos en materia de protección de datos, indicando también al efecto, de forma manuscrita, un número de teléfono y una dirección de correo electrónico. Asimismo, incluye 3 fotografías que muestran los carteles que informan, en el exterior e interior del establecimiento, que se trata de una zona videovigilada y se advierte del aviso inmediato a la policía. En estos carteles no se realiza referencia alguna a los derechos en materia de protección de datos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Ha de comenzarse indicando que, de acuerdo con el art. 4.1 RGPD, se entiende por «datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; Por su parte, el artículo 4.2. del RGPD define el tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Las imágenes de una persona física son un dato de carácter personal y su captación por un sistema de cámaras o videocámaras constituye un tratamiento de datos personales que está sujeto a la normativa de protección de datos, a salvo de que se trate de un tratamiento exceptuado, como sería el de carácter doméstico. El apartado 7 del mencionado artículo 4 del RGPD define como «responsable del tratamiento» o «responsable» a: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. Tal y como ha quedado acreditado por la respuesta a la actuación de traslado realizada, la parte reclamada es responsable del sistema de videovigilancia instalado en su establecimiento y objeto de la presente reclamación. Por lo tanto, nos encontramos ante un tratamiento de datos de carácter personal del que es responsable la parte reclamada y que ha de cumplir con los requisitos que establece la normativa de protección de datos al respecto. III Normativa sobre protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 En el presente caso, y tal y como se ha especificado en los hechos, la reclamación versa sobre la instalación de un sistema de videovigilancia que, según lo que señala la reclamante, podría no estar cumpliendo los preceptos de la normativa en materia de protección de datos. A este respecto, debemos comenzar indicando que el artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales Más en concreto, en lo referido al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD- Tratamientos con fines de videovigilancia- establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Por otro lado, cabe señalar que el tratamiento de datos personales está sometido a los principios indicados en el artículo 5 del RGPD y, en concreto, en el caso que nos ocupa, a lo señalado en el apartado 1
  1. c)de dicho precepto, que dispone lo siguiente: Los datos personales serán(…) “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos») Esto significa que, en un tratamiento concreto, sólo pueden tratarse los datos personales oportunos y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. Asimismo, la pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de estos. La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad. No obstante, en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. En este sentido, el apartado 2 del art. 22 dispone lo siguiente: 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no puede afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. Tampoco pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Asimismo, resulta desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. Por otro lado, el artículo 12.1 del RGPD indica que, quien lleve a cabo un tratamiento de datos personales como es la captación de imágenes mediante un sistema de videovigilancia, deberá suministrar a los interesados la información indicada en los artículos 13 y 14 del RGPD. Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el citado artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de "información por capas". En este sentido, la primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc., colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. No es necesario especificar la ubicación precisa del equipo de videovigilancia. Este deber de información se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. Esta información debe suministrarse por adelantado, según dispone el considerando 39 del RGPD, que se pronuncia en los siguientes términos: (…). Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento IV Obligaciones en materia de videovigilancia Asimismo, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente (artículo 22 de la LOPDGDD) debe cumplir los requisitos específicos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, de acuerdo con el considerando 39 del RGPD. 2.- Las imágenes obtenidas no pueden utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- Se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD En tal sentido, se prevé en relación con la videovigilancia un sistema de “información por capas”. La primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. Esta información se contendrá en un dispositivo colocado en un lugar suficientemente visible y debe suministrarse por adelantado. La información de la segunda capa debe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. 4.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. V Obligación incumplida. Artículo 5.1
  2. c)del RGPD Tal y como se ha señalado, en el supuesto examinado se aprecia de los documentos que obran en el expediente que el responsable del tratamiento ha instalado un sistema de videovigilancia con, aparentemente, la finalidad prevista en el artículo 22 de la LOPDGDD. A este respecto, cabe comenzar diciendo que, si bien la reclamación indicaba- y así se justificaba por una de las imágenes aportadas por la reclamante- la existencia de un monitor con las imágenes captadas por el sistema a la vista de todo el establecimiento, en la respuesta al traslado ha quedado acreditado que dicho monitor ha sido sustituido por una aplicación instalada en el móvil del responsable. Sentado lo anterior, según la información que consta en el expediente, el espacio captado por las cámaras incluye las mesas del establecimiento en las que los clientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 se sitúan durante su visita al mismo- apreciándose incluso en una de las imágenes aportadas por el propio reclamado a uno de estos clientes-, además de la zona de la caja registradora, de las máquinas de juegos de azar o tragaperras, la máquina expendedora de tabaco y la puerta de acceso al local. Si bien se observa que la cámara que enfoca a la puerta del local capta una porción de la vía pública, dicha captación es proporcionada en tanto sólo comprende la parte imprescindible para la consecución de la finalidad de seguridad de personas, bienes e instalaciones, en los términos del artículo 22.2 de la LOPDGDD. De igual forma, puede entenderse que el resto de las cámaras instaladas son proporcionales en cumplimiento de la finalidad de seguridad con la que se instala el sistema de videovigilancia, salvo en el caso de las que captan las mesas del establecimiento. Por su propia naturaleza, la zona de las mesas del comedor se trata de una ubicación en que los afectados por el tratamiento pueden permanecer largo tiempo, y en una situación en que puede verse afectado su derecho fundamental a la protección de datos de carácter personal, así como otros derechos y libertades, tales como su intimidad o el libre desarrollo de su personalidad, de manera especial, ya que suele acudirse a estos lugares en momentos de ocio. Asimismo, tampoco existe una especial razón que justifique la vigilancia de lugares como las mesas en relación con la seguridad del establecimiento, como sí podría existir en relación con espacios acotados como la entrada/salida del mismo o la caja registradora. En este sentido, la captación permanente de la zona de la sala y las mesas cuando los clientes se encuentran en la misma, no cumpliría con los requisitos del principio de minimización de realizar un tratamiento de datos personales “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. A este respecto es importante reseñar que, conforme a la información aportada por el responsable, aun sin más acreditación al respecto, las imágenes captadas son conservadas durante un plazo de una semana. Con ello, los datos de todos los clientes que hubieran acudido al establecimiento son guardados durante ese período. En este caso, la afectación al derecho fundamental a la protección de datos personales, entendido como el poder de disposición y control del que es titular el interesado, es muy superior al presunto interés que pretende conseguir el reclamado, cual es la preservación de la seguridad de los bienes y personas en la zona de las mesas del establecimiento. De igual forma, de la información y documentación que obra en el expediente no se acredita por la parte reclamada la necesidad de realizar este tratamiento de datos personales en función de la finalidad, en relación con la zona de las mesas de los clientes del establecimiento, y conforme a las circunstancias descritas más arriba. Por ello, y sin perjuicio de lo que resulte de la instrucción, se entiende que los hechos descritos pudieran suponer una infracción del artículo 5.1
  3. c)antes indicado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 VI Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, del artículo 5.1
  4. c)antes señalado. Dicha infracción se encuentra tipificada en el artículo 83.5 RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  5. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A este respecto, la LOPDGDD, en su artículo 71 se pronuncia en los siguientes términos: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  6. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. VI Propuesta de sanción En este caso, a tenor de los hechos expuestos y sin perjuicio de lo que resulte de la instrucción del procedimiento, se considera que la sanción que correspondería imponer es de multa administrativa. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual, efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  7. a)a
  8. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  9. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  10. b)la intencionalidad o negligencia en la infracción;
  11. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  12. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  13. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  14. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  15. g)las categorías de los datos de carácter personal afectados por la infracción;
  16. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  17. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  18. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  19. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 - la naturaleza de la infracción al disponer de un sistema de videovigilancia que está orientado hacia la zona reservada al libre esparcimiento de los clientes de manera continuada, tratando datos de personas físicas identificables o identificables en número indeterminado, que puede, además, afectar a otros derechos y libertades de los clientes o transeúntes (art. 83.2
  20. a)RGPD). - la intencionalidad o negligencia de la infracción, (art. 83.2
  21. b)RGPD), dado que, de forma negligente, no se ha realizado la ponderación de proporcionalidad previa y requerida antes de implantar el tratamiento que iba a afectar a todas las personas que visitaran el establecimiento. Por todo ello, de acuerdo con lo señalado, y sin perjuicio de lo que resulte de la instrucción del procedimiento, la valoración inicial que alcanza la cuantía de la multa es de 4.000€ euros, por infracción del artículo 5.1
  22. c)del RGPD. VII Obligación incumplida. Artículo 13 RGPD Según lo señalado previamente, la instalación de un sistema de videovigilancia ha estar debidamente informada, de tal manera que los afectados por la captación de su imagen puedan conocer y ejercitar sus derechos en materia de protección de datos personales. A este respecto, el apartado 4 del artículo 22 de la LOPDGDD dispone lo siguiente: 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. Por su parte, el art. 13 RGPD se pronuncia en los siguientes términos: 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  23. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  24. b)los datos de contacto del delegado de protección de datos, en su caso;
  25. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21
  26. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  27. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  28. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  29. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  30. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  31. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  32. d)el derecho a presentar una reclamación ante una autoridad de control;
  33. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  34. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información. A este respecto, consta en el expediente, por haber sido aportado por el reclamado, imagen de un cartel informativo en el que se advierte de la existencia de una zona videovigilada, se hace mención a la Ley Orgánica 15/1999, de protección de datos personales y se indica que puede ejercitar sus derechos antes señalando los datos (teléfono y correo electrónico) de la parte reclamada. Ha de señalarse que esta última información se encuentra manuscrita, llegando a dificultar su entendimiento, sobre todo en lo relativo a la dirección de correo electrónico. Asimismo, se aportan fotografías los carteles que informan, en el exterior e interior del establecimiento, que se trata de una zona videovigilada y se advierte del aviso inmediato a la policía. En estos carteles no se realiza referencia alguna a los derechos en materia de protección de datos. En atención a las evidencias que constan en el expediente, el cartel informativo aportado por la parte reclamada y que consta en el establecimiento, no sólo hace referencia a una normativa anterior y actualmente derogada (recordemos que, desde el 25 de mayo y el 7 de diciembre de 2018, respectivamente, se encuentran en vigor el RGPD y la LOPDGDD, que configuran en la actualidad el régimen jurídico en materia de protección de datos personales), sino que, además de la ininteligibilidad de alguna de sus partes, el cartel informativo no atiende al contenido del artículo 22 LOPDGDD y, de forma destacada, no incluye ninguna indicación sobre cómo obtener el resto de información sobre el tratamiento de datos con todos los aspectos a los que se refiere el artículo 13 RGPD. Y ello sin perjuicio de la información “por capas” a la que antes nos referíamos. Por lo tanto, en atención de las evidencias de las que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador y sin perjuicio de lo que resulte de la instrucción, puede entenderse que los hechos descritos constituyen una infracción del artículo 13 RGPD. VIII Tipificación y calificación de la infracción De conformidad con los indicios de los que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, del artículo 13 RGPD. Dicha infracción se encuentra tipificada en el artículo 83.5.
  35. b)del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21
  36. b)los derechos de los interesados a tenor de los artículos 12 a 22;(…)”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  37. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica IX Propuesta de sanción En este caso, a tenor de los hechos expuestos y sin perjuicio de lo que resulte de la instrucción del procedimiento, se considera que la sanción que correspondería imponer es de multa administrativa. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, indicados previamente. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - la naturaleza de la infracción al disponer de un sistema de videovigilancia que no cuenta con un cartel informativo adecuado y que está orientado a la zona de comedor, tratando datos de personas físicas identificables o identificables en número indeterminado, que puede, además, afectar a otros derechos y libertades de los clientes o transeúntes (art. 83.2
  38. a)RGPD). - la intencionalidad o negligencia de la infracción, (art. 83.2
  39. b)RGPD), dado que, de forma negligente, no se ha tenido en cuenta la normativa actualmente de aplicación al objeto de informar debidamente a los interesados sobre sus derechos y las vías habilitadas para su ejercicio. Por todo ello, de acuerdo con lo señalado, y sin perjuicio de lo que resulte de la instrucción del procedimiento, la valoración inicial que alcanza la cuantía de la multa es de 1.000 euros, por infracción del artículo 13 del RGPD. X Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  40. d)del RGPD, según el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el presente caso, se podrá ordenar que en el plazo de un mes desde que la resolución que ponga fin al presente procedimiento sancionador sea firme y ejecutiva se adopten las medidas necesarias - Evitar que las cámaras que conforman el sistema de videovigilancia enfoquen de manera continuada la zona de mesas del establecimiento. - Instalar un cartel informativo sobre la existencia de zona videovigilada que cumpla con los requisitos establecidos en la normativa de protección de datos. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a A.A.A., con NIF ***NIF.1, por la presunta infracción de los artículos 5.1
  41. c)y 13 tipificada en el artículo 83.5.
  42. a)y b), respectivamente, del RGPD. SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  43. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, - por la supuesta infracción del artículo 5.1
  44. c)del RGPD, tipificada en el artículo 83.5.
  45. a)de dicha norma, multa administrativa de cuantía 4.000 euros, sin perjuicio de lo que resulte de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 - por la supuesta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  46. b)de dicha norma, multa administrativa de cuantía 1.000 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a A.A.A., con NIF ***NIF.1, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  47. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.000,00 o 3.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21 concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-181024 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de diciembre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 3.000,00 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. TERCERO: La parte reclamada ha renunciado expresamente a cualquier acción o recurso en vía administrativa contra la sanción. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  48. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se le permitía llevar a cabo el pago voluntario de la sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 propuesta y reconocimiento de responsabilidad, lo que supondría la reducción de un 40% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 3.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, la parte reclamada ha procedido al pago voluntario y reconocimiento de la responsabilidad, acogiéndose a las dos reducciones previstas y renunciando expresamente a cualquier acción o recurso en vía administrativa. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del alto tribunal en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 5.000,00 euros. Tras haber procedido la parte reclamada al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 3.000,00 euros. SEGUNDO: DECLARAR la terminación del procedimiento EXP202310442, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a A.A.A. para que en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a A.A.A.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por la parte reclamada, no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contencioso-administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado expresamente, la presente resolución será plenamente ejecutiva a partir de la notificación de la misma. No obstante, conforme a lo previsto en el artículo 90.3
  49. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. 1259-101224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.