← España

PS-00522-2023

1/14  Expediente N.º: EXP202316765 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GRIMEY WEAR, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: EXP202316765 (PS/00522/2023) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 02/07/23, D. A.A.A. (en adelante, la parte reclamante), presenta escrito de reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad GRIMEY WEAR, S.L., con CIF.: B86141272, (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Los hechos que manifiesta el reclamante son los siguientes: “El día 27 de Enero de 2023 les reclamo el borrado de todos mis datos asociados a mi cuenta y me contestan en 30 de Enero de 2023 que lo pasan al personal responsable. El día 23 de Abril de 2023 les recuerdo que aún no han borrado mis datos y ya han superado el plazo legal, aportándome pruebas de que esto se realiza el 25 de Abril. Ante mi sorpresa, desde el 25 de Abril donde no debería existir, recibo otros dos correos de newsletters, uno el 21 de Junio y el otro uno de Julio cuando se suponía que ya habían borrado mis datos”. Junto al escrito de reclamación, se acompaña la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 - Fechado el 27/01/23, copia del correo electrónico enviado por parte del reclamante a la dirección ***EMAIL.1, solicitando que se borren todos sus datos de la cuenta de correo electrónico así como todas las newsleter. - Fechado el 23/04/23, copia del correo electrónico enviado por parte del reclamante a la dirección ***EMAIL.1 con el siguiente mensaje: o - - Fechado el 25/04/23, copia del correo electrónico recibido desde la dirección ***EMAIL.1, indicando en el mismo: “Hola A.A.A., Trasladamos al departamento correspondiente”. Fechado el 25/04/23, copia del correo electrónico recibido desde la dirección ***EMAIL.1 , indicando en el mismo: “… te facilitamos cómo la cuenta está dada de baja y de la newsletter te han dado de baja nuestros compañeros”. Fechado el 20/06/23, copia del correo electrónico recibido desde la dirección “Grimey” ***EMAIL.2 , conteniendo mensajes publicitarios. o - En la parte final de dichos correos se puede leer el siguiente mensaje: “Cualquier consulta puedes contactar con nosotros escribiendo a ***EMAIL.1 ¿Quieres dejar de recibir estos correos electrónicos? Puedes modificar tus preferencias <<aquí>> Fechado el 21/06/23, copia del correo electrónico enviado por parte del reclamante a la dirección ***EMAIL.2, con el siguiente mensaje: o - “Han pasado ya casi tres meses desde que realicé la solicitud de borrado de mis datos y está no se ha realizado ya que me puedo seguir metiendo en la cuenta. El plazo legal para realizar este proceso y reflejado en la ley de datos es de un mes desde mi solicitud, ¿cuándo se va a realizar el borrado de la cuenta?” “¿Por qué me ha llegado esta publicidad cuando tengo un correo de confirmación por vuestra parte de que me eliminasteis de vuestra base de datos en Abril? Ante el incumplimiento por vuestra parte de la Ley de Protección de Datos de forma reiterada, contactaré con a AEGPD Fechado el 01/07/23, copia del correo electrónico recibido desde la dirección ***EMAIL.2 , conteniendo mensajes publicitarios. En la parte final de dichos correos se puede leer el siguiente mensaje: “Cualquier consulta puedes contactar con nosotros escribiendo a ***EMAIL.1 ¿Quieres dejar de recibir estos correos electrónicos? Puedes modificar tus preferencias <<aquí>> SEGUNDO: Con fecha 07/07/23, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. o El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Públicas (LPACAP), según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, fue enviado a la parte reclamada el día 07/07/23 a través del servicio de notificaciones electrónicas, “NOTIFIC@”, siendo aceptado por el reclamado el 10/07/23. TERCERO: Con fecha 03/08/23, se recibe en esta Agencia escrito de contestación de la parte reclamada al requerimiento realizado, en el cual manifiesta lo siguiente: “Nos dirigimos a ustedes en relación a la denuncia recibida por presunto incumplimiento de RGPD en nuestra plataforma web (grimey.com). A través de este recurso, deseamos presentar nuestras alegaciones y explicar los hechos pertinentes que rodean esta situación. En primer lugar, deseamos señalar que nuestra empresa, Grimey Wear, se encuentra en un periodo de transición de una plataforma web a otra. Durante este proceso de migración, se produjo una situación inesperada que resultó en el cruce de algunos datos de clientes antiguos. Sin embargo, queremos enfatizar que esta transferencia de datos fue un incidente aislado y no refleja en ningún caso nuestras prácticas habituales de protección de datos. Podrán comprobar en nuestro histórico que esto es correcto. (No obstante, comprobando los hechos y pruebas expuestos en la denuncia, aceptamos y reconocemos el error cometido, y aparte de disculparnos, tanto con su organismo como con el afectado, podemos confirmar que ya se realizaron las gestiones pertinentes y el problema se encuentra totalmente subsanado). Es importante tener en cuenta que, debido al cambio de plataforma, actualmente no disponemos del formulario de suscripción a nuestra web (En particular, el alta de este cliente se realizó en el año 2008). Sin embargo, estamos trabajando diligentemente para restablecerlo lo antes posible. Nuestro objetivo principal es cumplir con los requisitos legales y garantizar la total transparencia en el manejo de los datos de nuestros usuarios, tal y como hemos hecho en todo momento desde nuestra apertura a nivel online hace alrededor de 10 años. Nos gustaría destacar que estamos realizando más cambios significativos y realizando importantes inversiones en nuestras plataformas con el propósito expreso de evitar este tipo de incidencias en el futuro y asegurarnos de que siempre operamos dentro de los límites de la legalidad vigente. Hemos implementado medidas adicionales de seguridad y privacidad para proteger la información de nuestros usuarios, y estamos comprometidos en salvaguardar sus datos personales de manera responsable. (Para ello hemos contratado recientemente los servicios de la plataforma Salesforce conjuntamente con una agencia externa que nos guiará y asesorará, la cual dispone de las herramientas necesarias para el control de absolutamente todos los datos de nuestros clientes, así como de su adecuada gestión en vistas a que no volvamos a incurrir en este tipo de infracciones u otras tantas). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Agradecemos su comprensión en este asunto y nos disculpamos por cualquier preocupación o molestia que esto haya ocasionado. En vista de lo expuesto, solicitamos respetuosamente que se tenga en cuenta la naturaleza aislada del incidente y el enfoque diligente que hemos adoptado para abordar la situación. Confiamos en que nuestra respuesta al incidente demuestra nuestro compromiso con la protección de los datos personales y nuestra disposición a cooperar plenamente con las autoridades competentes. Agradecemos su atención a este asunto y esperamos que, tras considerar las circunstancias descritas, se pueda reevaluar la denuncia y se tenga en cuenta nuestra respuesta y acciones correctivas tomadas. PD: Adjuntamos capturas de pantalla de nuestros procesos de alta y baja, así como un extracto de la página de Política de Privacidad en nuestra web. Lamentablemente no disponemos de los datos de registro del cliente al haber sido eliminada por completo toda muestra de su cuenta con nosotros. Anotar que la cuenta fue creada en 2016 y que el sistema de registro distaba ligeramente del actual que se modificó con la actualización de la Ley de protección de datos. CUARTO: Con fecha 13/08/23 se recibe en esta Agencia un nuevo escrito de la parte reclamante, como ampliación a su reclamación inicial, indicando lo siguiente: Grimey Wear SL me envío una comunicación donde se indica claramente que me habían cometido un error la política de protección de datos y que en su momento no procedieron al borrado completo todas las listas de difusión asociadas a mi cuenta y me aseguraban y cito palabras textuales suyas: "nos hemos asegurado de eliminar de manera definitiva tus datos de nuestras listas de difusión. Nuestro equipo ha sido reentrenado en la correcta gestión de los datos de los clientes y estamos comprometidos a mantener altos estándares de protección de datos en el futuro." Dicho email de confirmación tiene fecha del 26 de Julio de 2023 pero ante mi sorpresa el día de ayer, es decir, 11 de agosto me han vuelto a mandar una comunicación comercial cuando se supone que ya me habían borrado mis datos. Junto al escrito se acompaña la siguiente documentación: - Fechado el 26/07/23, copia del correo electrónico recibido desde la dirección ***EMAIL.3 indicando en el mismo lo siguiente: o C/ Jorge Juan, 6 28001 – Madrid “Estimado cliente, En primer lugar, queremos expresar nuestras más sinceras disculpas por el error que hemos cometido en relación con la política de protección de datos en nuestros sistemas. Reconocemos plenamente nuestra responsabilidad en este asunto y lamentamos profundamente cualquier inconveniente que esto te haya podido causar. Entendemos la importancia de salvaguardar la privacidad y los datos personales de nuestros clientes, y lamentamos mucho que en esta ocasión no hayamos cumplido con los estándares que mereces y que nosotros mismos nos imponemos. www.aepd.es sedeagpd.gob.es 5/14 El error ocurrido en nuestros sistemas resultó en que no procediéramos al borrado completo de todas las listas de difusión asociadas a tu cuenta, a pesar de que solicitaste expresamente tu baja. Reconocemos que esto fue una falta por nuestra parte y hemos revisado cuidadosamente nuestros procesos para asegurarnos de que no se repita en el futuro. Queremos enfatizar que nuestra intención siempre ha sido mantener una relación cercana y respetuosa con nuestros clientes, y que nunca tuvimos la intención de causarte ninguna molestia. Hemos tomado este incidente como una oportunidad para aprender y mejorar nuestros sistemas, de manera que podamos ofrecerte un servicio más confiable y seguro. Hemos tomado todas las medidas necesarias para solucionar por completo este caso particular, nos hemos asegurado de eliminar de manera definitiva tus datos de nuestras listas de difusión. Nuestro equipo ha sido reentrenado en la correcta gestión de los datos de los clientes y estamos comprometidos a mantener altos estándares de protección de datos en el futuro. Vuestra satisfacción es nuestra prioridad, y esperamos sinceramente que puedas aceptar nuestras disculpas. Agradecemos enormemente tu comprensión. Si tienes alguna otra inquietud o pregunta, no dudes en comunicarte con nosotros. Estamos aquí para ayudarte en lo que necesite. De nuevo, gracias por su comprensión. - Fechado el 11/08/23, copia del correo electrónico recibido desde la dirección ***EMAIL.2 , conteniendo mensajes publicitarios. QUINTO: Con fecha 02/10/23, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante FUNDAMENTOS DE DERECHO I. Competencia. De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento, la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II. Síntesis de los hechos acaecidos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 En el escrito de reclamación presentado por el reclamante se manifiesta que, el 27/01/23 envió un correo electrónico a la parte reclamada en el que solicitaba ejercer su derecho de borrado de todos sus datos personales que hubiera en los sistemas de parte reclamada para que no volvieran a enviarle más comunicaciones comerciales y el 30/01/23 recibe el acuse de recibo indicándole que “lo van a pasar al personal responsable”. El día 23/04/23 el reclamante vuelve a enviar un correo electrónico a la parte reclamada recordando que aún no han borrado sus datos personales pues aún tiene acceso al sistema con sus datos y sus claves, contestándole que el borrado de sus datos se realizará inmediatamente, pero pese a ello, vuelve a recibir otros dos correos electrónicos publicitarios el 21/06/23 y el 01/07/23. Con fecha 03/08/23, como contestación al requerimiento hecho por parte de esta Agencia, la parte reclamada manifiesta que la entidad se encontraba en un periodo de transición de una plataforma web a otra cuando ocurrieron los hechos y que, durante ese proceso de migración se produjo una situación inesperada que resultó en el cruce de algunos datos de clientes antiguos siendo un incidente aislado por lo que pedía disculpas y garantizaba que dicha situación no volvería a ocurrir en el futuro pues habían puesto los medios técnicos necesarios para ello. En paralelo con ello, el reclamante recibe, con fecha 26/07/23, un correo electrónico de la parte reclamada en el que le piden disculpas por los errores cometidos y le aseguran que han eliminado de forma definitiva todos sus datos personales de sus listas de difusión. No obstante, el día 11/08/23, el reclamante vuelve a recibir un nuevo correo electrónico publicitario desde la dirección ***EMAIL.2. III Derecho de supresión (Derecho al olvido). El artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece que: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

  1. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  2. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  3. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  4. d)los datos personales hayan sido tratados ilícitamente;
  5. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  6. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 (…) 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  7. a)para ejercer el derecho a la libertad de expresión e información;
  8. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  9. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  10. h)e i), y apartado 3;
  11. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  12. e)para la formulación, el ejercicio o la defensa de reclamaciones.” En el presente caso, ha quedado constatado que la parte reclamante solicitó la supresión de sus datos personales en dos ocasiones. La primera el día 27/01/23, y la segunda el día 23/04/23, recibiendo en ambos casos el acuse de recibo correspondiente de la parte reclamada. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamante solicitó inicialmente la supresión de sus datos personales hasta en dos ocasiones, solicitud que no fue atendida, pues incluso, después de haber declarado ante esta Agencia que los datos personales del reclamante habían sido borrados, se volvieron a utilizar para enviarle un nuevo correo electrónico publicitario por lo que estos hechos podrían ser constitutivos de una infracción, imputable a la parte reclamada por vulneración del artículo 17 del RGPD. IV Tipificación y calificación de la infracción del artículo 17 del RGPD De confirmarse, la citada infracción del artículo 17 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  13. b)los derechos de los interesados a tenor de los artículos 12 a 22;” A efectos del plazo de prescripción, el artículo 74.
  14. c)“Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…)
  15. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  16. k)de esta ley orgánica.” V Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  17. a)a
  18. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  19. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  20. b)la intencionalidad o negligencia en la infracción;
  21. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  22. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  23. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  24. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  25. g)las categorías de los datos de carácter personal afectados por la infracción;
  26. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  27. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  28. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  29. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Respecto al apartado
  30. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 2. De acuerdo a lo previsto en el artículo 83.2.
  31. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  32. a)El carácter continuado de la infracción.
  33. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  34. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  35. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  36. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  37. f)La afectación a los derechos de los menores.
  38. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  39. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En este caso, considerando la gravedad de la infracción constatada, atendiendo especialmente a las consecuencias que su comisión provoca en la parte reclamante, procede la imposición de multa, además de la adopción de medidas, en su caso. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de pequeña empresa y el volumen de negocio de la parte reclamada (4.283.681 euros en el año 2022). De acuerdo con los preceptos indicados, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de las sanciones a imponer en el presente caso, se considera que procede graduar las sanciones de acuerdo con los siguientes criterios que establecen los preceptos transcritos: En una valoración inicial, se estiman concurrentes como agravantes los criterios de graduación siguientes: - Artículo 83.2.
  40. a)del RGPD: “
  41. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. La Agencia considera que la naturaleza de la infracción es muy grave, pues después de haber asegurado al reclamante en varias ocasiones que sus datos personales habían sido borrados e incluso haber manifestado este hecho ante esta Agencia, se ha constatado que dicho borrado no ha existido pues ha seguido utilizando sus datos personales para enviarle nuevos correos electrónicos publicitarios. - Artículo 83.2.
  42. b)del RGPD: “
  43. b)la intencionalidad o negligencia en la infracción". Intencionalidad o negligencia en la infracción: Si bien la Agencia puede considerar que no hubo intencionalidad de la parte reclamada, se concluye que su actuación es negligente, al haber asegurado que las irregularidades detectadas habían sido resueltas pues se habían implantado nuevos sistemas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 que evitaban este tipo de irregularidad corroborando después de que esto no era cierto. Considerando los factores expuestos, la valoración inicial que alcanza la multa por la infracción del artículo 17 del RGPD, es de 10.000 euros (diez mil euros), sin perjuicio de lo que resulte de la instrucción del procedimiento. VI Adopción de medidas De confirmarse las infracciones, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  44. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En tal caso, en la resolución que se adopte, esta Agencia podrá ordenar al responsable para que en el plazo de un mes notifique a la Agencia la adopción de las medidas impuestas en la resolución del procedimiento de ejercicio de derechos consistente en la supresión de los datos, que sobre el reclamante posee la parte reclamada. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la entidad GRIMEY WEAR, S.L., con CIF.: B86141272 por la vulneración del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, por no haber atendido la solicitud del ejercicio del derecho de supresión de los datos personales del reclamante. SEGUNDO: NOMBRAR como Instructor a D. B.B.B., y Secretaria, en su caso, a D. C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, todos ellos parte del presente expediente administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 CUARTO: QUE a los efectos previstos en el art. 64.2
  45. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 10.000 euros (diez mil euros) por la infracción del artículo 15 del RGPD, sin perjuicio de lo que resulte de la instrucción del presente procedimiento sancionador. QUINTO: NOTIFICAR el presente acuerdo de inicio de expediente sancionador a entidad CARSO TRADING, S.L., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  46. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 2.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 2.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000 euros (seis mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, (8.000 euros o 6.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 15 de diciembre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  47. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202316765, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a GRIMEY WEAR, S.L. para que en el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a GRIMEY WEAR, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  48. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.