← España

PS-00534-2021

1/14  Expediente Nº: PS/00534/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 19 de septiembre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Mistore Canarias, S.L.U. con CIF B67594002 (en adelante, la parte reclamada o Mistore Canarias). Los motivos en que basa la reclamación son los siguientes. La reclamante manifiesta que realizó una compra en el establecimiento "***ESTABLECIMIENTO.1" en donde recabaron sus datos personales y el número de su cuenta bancaria. Añade, que le ofrecieron contratar un seguro de móvil, una tarjeta regalo y una página de dominios o creación web “Sfam, Cyrana y Hubside” que en el último momento decidió no contratar y le indicaron que sus datos se borrarían. Posteriormente, recibió durante dos meses cargos en su cuenta bancaria de las empresas "Cyrana, Sfam y Hubside" a las que el citado establecimiento cedió sus datos personales sin su consentimiento previo, y por lo tanto procedió anular los cargos efectuados en su cuenta bancaria. Y, aporta la siguiente documentación para acreditar los hechos: - Justificante del cargo realizado en su cuenta bancaria el 18 de junio de 2020, por la parte reclamada, en relación con la compra realizada por la reclamante en “***ESTABLECIMIENTO.1". - Factura de la compra realizada en “***ESTABLECIMIENTO.1". - Justificantes de los cargos efectuados a su nombre en su cuenta bancaria, por las siguientes empresas: Por Hubside, que comercializa productos de creación de páginas web, el 1 de septiembre de 2020. Por Cyrana, que comercializa tarjetas de puntos para reembolsar la compra realizada, el 1 de septiembre de 2020. Por Sfam, que oferta seguros para el móvil, el 18 de agosto de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 - Hoja de reclamaciones ante la Dirección General de Consumo del Gobierno de Canarias. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 25 de enero de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 25 de febrero de 2021 la parte reclamada remite a esta Agencia la siguiente información y manifestaciones: 1. Que no son responsables ni corresponsables del tratamiento de los datos personales de los visitantes de sus establecimientos comerciales interesados en contratar o que hayan contratado los seguros y/o el programa de puntos de Cyrana España General o de Celside/Sfam ya que en el momento de la contratación ninguno de sus empleados accede a ellos al contratar. 2. Por otra parte, exponen que una vez que el cliente indica los datos y firma en uno de los terminales de contratación, la activación del contrato solo se activa mediante un código que el cliente recibe en su teléfono personal, dando la conformidad para dichos servicios que durante el primer mes es gratuito y aceptando las condiciones del contrato. 3. Añaden, que el contrato lo recibe el cliente en el email que ha facilitado en el registro de datos y aceptando las condiciones, mediante un código de seguridad recibido en su teléfono. 4. Manifiestan que han llamado a la aseguradora y les informan que actualmente no tiene ningún servicio. Con fecha 5 de agosto de 2021 Hubside Iberica, S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. A raíz de recibir el 30 de octubre de 2020 la reclamación formulada ante la OCU por la reclamante, y tras realizar las oportunas verificaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 procedieron con fecha 16 de noviembre de 2020, a suprimir la totalidad de los datos personales de la reclamante de su base de datos. Adjuntan dicha supresión. 2. A consecuencia de la supresión, no disponen de datos de la reclamante, ni de su consentimiento ni del contrato firmado. 3. Que el origen de los datos es la tienda “***TIENDA.2” del centro comercial ***CENTRO.1(***DIRECCIÓN.1, Las Palmas de Gran Canaria35010) y por lo tanto procedieron al registro de sus datos personales. 4. En fecha 18 de junio de 2020, la reclamante acudió a la tienda “Xiaomi Las Arenas” del centro comercial ***CENTRO.1(***DIRECCIÓN.1, Las Palmas de Gran Canaria – 35010) y procedieron al registro de sus datos personales. El punto de venta suscribió en las aplicaciones internas de la empresa dichos datos, los cuales han sido suprimidos en su totalidad de la base de datos. Aporta captura de pantalla donde consta el texto “B-APPLI SUPPORT” y “Website contract HES B61 714 457 070” y consta, entre otros campos: En campos “nombre”, “apellidos”, “nombre página web” y “nombre del dominio” consta “DROIT A L’OUBLI”. En el campo fecha consta “18/06/2020 22:00” En el campo “condiciones generales validadas” consta “awaiting decision” En el campo “token validado” consta “no” En el campo “agencia” consta “***TIENDA.2”. Con fecha 5 de agosto de 2021 Sfam Iberica Servicios, S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. Que debido a la recepción de la reclamación a la OCU por parte de la reclamante con fecha 30 de octubre de 2020, suprimieron todos los datos de la reclamante con fecha 23 de febrero de 2021 y procedieron a gestionar un reembolso. 2. Que debido a la supresión, no disponen de datos de la reclamante, ni de su consentimiento ni del contrato firmado. 3. Que el origen de los datos es la tienda “***TIENDA.2” del centro comercial ***CENTRO.1(***DIRECCIÓN.1, Las Palmas de Gran Canaria35010) y se procedió al registro de sus datos personales. 4. Que el punto de venta suscribió en las aplicaciones internas de su empresa dichos datos. Aporta captura de pantalla donde consta el texto “B-APPLI SUPPORT” y “Modificación del contrato” y consta entre otros campos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 En campos “nombre”, “apellidos”, “dirección” , “e-mail” , “código postal”, “ciudad”, “contacto telefónico” consta “DROIT A L’OUBLI”. En el campo “fecha de suscripción” consta “*****” En el campo “condiciones de garantía validadas” consta “refused” En el campo “estado contrato” consta “incompleto” En el campo “estado del pago” consta “activo” En el campo “agencia” consta “***TIENDA.2”. Con fecha 28 de julio de 2021 se envía requerimiento de información a Cyrana España General S.L. La notificación se realiza electrónicamente. Según este sistema de notificación, se ha producido el rechazo automático al haber transcurrido diez días naturales desde su puesta a disposición. Con fecha 25 de agosto de 2021 se reitera requerimiento de información a Cyrana España General S.L. La notificación se realiza por correo postal. Con fecha 9 de noviembre de 2021, remite a esta Agencia la siguiente información y manifestaciones: 1. En fecha 30/10/2020, Cyrana recibió una reclamación por parte de la reclamante, interpuesta a través de la OCU, en la que alegaba la cesión de sus datos a la empresa sin su consentimiento y el cobro de varios cargos en su cuenta. Tras realizar las oportunas verificaciones, procedieron a gestionar un reembolso por valor de 30,00 € a favor de la reclamante, confirmándoselo por escrito en fecha 10/11/2020. Una vez realizado dicho reembolso, procedieron a suprimir la totalidad de los datos personales de la reclamante de sus bases de datos, con efectos a partir del día 04/03/2021. Adjuntan la confirmación de dicha supresión enviada por sus colaboradores a la reclamante el mismo 04/03/2021(Anexo 1). Como consecuencia de la supresión de datos personales en su base de datos, y habiendo procedido al derecho al olvido, no pueden obtener la copia de contrato firmado requerido. 2. Documentación acreditativa del consentimiento otorgado por la reclamante para el tratamiento de sus datos. Exponen que, al haber aplicado el derecho al olvido respecto de los datos personales de la reclamante en su base de datos, no pueden obtener la documentación requerida. 3. Captura de pantalla de sus sistemas en relación a todos los datos de que se disponga asociados a la reclamante. Adjuntan captura de pantalla de su base de datos interna, en la que se puede observar que, acorde a lo manifestado en el punto 1, los datos personales de la reclamante han sido suprimidos en su totalidad (Anexo 2). 4. Origen de los datos del apartado anterior. En fecha 18 de junio de 2020, la reclamante acudió a la tienda “***TIENDA.2” del centro comercial ***CENTRO.1(***DIRECCIÓN.1, Las Palmas de Gran Canaria – 35010) y procedieron al registro de sus datos personales. El punto de venta suscribió en las aplicaciones internas de su empresa dichos datos, los cuales han sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 suprimidos en su totalidad de sus bases de datos, como han manifestado en el punto 1. Con fecha 27 de octubre de 2021 Sfam Iberica Servicios, S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. Sfam Iberica Servicios, S.L. es responsable del tratamiento y Zopo Iberia, S.L. trata datos por cuenta de éste. Tras serle requerido aportar contrato entre su entidad y Mistore Canarias S.L., aporta copia de contrato fechado a 1 de junio de 2019 entre SFAM (sociedad francesa) y Zopo Iberia, S.L. de colaboración y difusión de las ofertas de servicios de la primera, donde consta la cláusula 16 en relación a la protección de datos. 2. “[…]En fecha 1 de junio de 2019, nuestra empresa firmó un Contrato Marco de colaboración y de difusión de las ofertas de servicios con la sociedad Zopo Iberia, SL. Dicha empresa es la cabeza de grupo de diversos puntos de venta ubicados en todo el territorio español. En el Anexo ll del Contrato no constaba todavía en junio de 2019 la sociedad Mistore Canarias SL y fue con posterioridad que se constituyó una nueva sociedad para la tienda Mi Store ubicada en el Centro Comercial Las Arenas. El domicilio social de Zopo Iberia SL es el mismo que Mistore Canarias SL.[…]” 3. Que el significado del contenido de los campos mencionados en la aplicación no tiene relación con las condiciones del contrato al haber aplicado el derecho al olvido. Con fecha 27 de octubre de 2021 Hubside Iberica, S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. Hubside Iberica, S.L. es responsable del tratamiento y Zopo Iberia, S.L. trata datos por cuenta de éste. Tras serle requerido aportar contrato entre su entidad y Mistore Canarias S.L., aporta copia de contrato fechado a 1 de junio de 2019 entre Sfam Iberica Servicios, S.L. y Zopo Iberia, S.L. de colaboración y difusión de las ofertas de servicios de la primera, donde consta la cláusula 17 en relación a la protección de datos. 2. “[…]En fecha 1 de junio de 2019, nuestra empresa firmó un Contrato Marco de colaboración y de difusión de las ofertas de servicios con la sociedad Zopo Iberia, SL. Dicha empresa es la cabeza de grupo de diversos puntos de venta ubicados en todo el territorio español. En el Anexo ll del Contrato no constaba todavía en junio de 2019 la sociedad Mistore Canarias SL y fue con posterioridad que se constituyó una nueva sociedad para la tienda Mi Store ubicada en el Centro Comercial Las Arenas. El domicilio social de Zopo Iberia SL es el mismo que Mistore Canarias SL.[…]” 3. Que el significado del contenido de los campos mencionados en la aplicación no tiene relación con las condiciones del contrato al haber aplicado el derecho al olvido. QUINTO: Con fecha 19 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito de alegaciones el 3 de diciembre de 2021 en el que se reitera en los argumentos expuestos en su escrito de alegaciones de fecha 25 de febrero de 2021 que en síntesis, manifiesta que la parte reclamada no recoge el consentimiento del cliente, sino que éste lo presta en la terminal de contratación al incorporar sus datos y firma. SÉPTIMO: Con fecha 10 de enero de 2022, se inició el período de práctica de pruebas, acordándose: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el reclamante y su documentación, los documentos obtenidos y generados que forman parte del expediente y 2. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00534/2021, presentadas por la entidad denunciada. OCTAVO: Con fecha 1 de febrero de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a Mistore Canarias, S.L.U. con NIF B67594002, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5

  1. a)del RGPD, una multa de 5.000,00 € (cinco mil euros). La parte reclamada presentó alegaciones a la Propuesta de Resolución, en el que se reitera en los argumentos expuestos en su escrito de fecha 25 de febrero de 2021 que en síntesis, manifiesta que es una colaboradora externa de la aseguradora de conformidad con el art. 130.2 del Real Decreto 3/2020, de 4 de febrero. En su condición de colaborador externo, los empleados de la tienda de Mistore se limitan a ofrecer el seguro a los clientes que adquieren un producto de la tienda y que no es Responsable del tratamiento y ni siquiera es un encargado del tratamiento. Que no recoge el consentimiento del cliente, sino que éste lo presta en la terminal de contratación al incorporar sus datos y firma. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. - Consta que el 18 de junio de 2020, la parte reclamante realizó una compra en el establecimiento de la parte reclamada en donde registraron sus datos personales y el número de su cuenta bancaria, le ofrecieron contratar un seguro de móvil, una tarjeta regalo y una página de dominios o creación web “Sfam, Cyrana y Hubside” que en el último momento decidió no contratar y le indicaron que sus datos se borrarían. SEGUNDO. – Consta que la parte reclamada cedió los datos personales de la parte reclamante a las entidades "Cyrana, Sfam y Hubside" y durante dos meses le efectuaron cargos en su cuenta bancaria las citadas empresas sin su consentimiento previo, y por lo tanto procedió anular los cargos efectuados en su cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 TERCERO. – Consta justificante del cargo realizado en la cuenta bancaria de la parte reclamante el 18 de junio de 2020, por la parte reclamada, en relación con la compra realizada, y factura de la citada compra. CUARTO. – Constan los justificantes de los cargos efectuados a nombre de la parte reclamante en su cuenta bancaria, por Hubside y Cyrana el 1 de septiembre de 2020 y por Sfam el 18 de agosto de 2020. QUINTO. – Consta la hoja de reclamaciones ante la Dirección General de Consumo del Gobierno de Canarias. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Se imputa a la parte reclamada la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  4. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  5. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III En relación con sus alegaciones que no es Responsable del tratamiento y ni siquiera es un encargado del tratamiento, hay que manifestar que el Real Decreto-ley 3/2020, de 4 de febrero, de medidas urgentes por el que se incorporan al ordenamiento jurídico español diversas directivas de la Unión Europea en el ámbito de la contratación pública en determinados sectores; de seguros privados; de planes y fondos de pensiones; del ámbito tributario y de litigios fiscales, establece en su artículo 203 la Condición de responsable o encargado del tratamiento. 1. A los efectos previstos en la Ley Orgánica 3/2018, de 5 de diciembre, así como en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos:
  6. a)Los agentes de seguros y los operadores de banca-seguros tendrán la condición de encargados del tratamiento de la entidad aseguradora con la que hubieran celebrado el correspondiente contrato de agencia, en los términos previstos en el título I.
  7. b)Los corredores de seguros y los corredores de reaseguros tendrán la condición de responsables del tratamiento respecto de los datos de las personas que acudan a ellos.
  8. c)Los colaboradores externos a los que se refiere el artículo 137 tendrán la condición de encargados del tratamiento de los agentes o corredores de seguros con los que hubieran celebrado el correspondiente contrato mercantil. En este caso, solo podrán tratar los datos para los fines previstos en el artículo 137.1. 2. En el supuesto previsto en la letra
  9. a)del apartado 1, en el contrato de agencia deberán hacerse constar los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Del mismo modo, en el supuesto previsto en el apartado 1.
  10. c)deberán incluirse en el contrato mercantil celebrado con los colaboradores externos los extremos previstos en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. 3. Las entidades aseguradoras no podrán conservar los datos que les C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 faciliten los mediadores de seguros, y que no deriven en la celebración de un contrato de seguro, estando obligadas a eliminarlos salvo que exista otra base jurídica que permita un tratamiento legítimo de los datos conforme al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Por lo tanto, el colaborador actúa ante el interesado como encargado del tratamiento de la empresa cliente. En el supuesto examinado, de la normativa expuesta y de las manifestaciones realizadas por la parte reclamada cabe inferir que ésta actúa como encargada del tratamiento de las entidades Hubside Iberica, S.L. Sfam Iberica Servicios, S.L y Cyrana España General SL En el artículo 4.8, se define al encargado del tratamiento como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Todo tratamiento de datos personales realizado por un encargado debe regirse por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros celebrado entre el responsable y el encargado, tal como se estipula en el artículo 28, apartado 3, del RGPD. Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7 de julio de 2021, detallan lo siguiente: “Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su contenido esencial, el contrato debe servir para que el responsable y el encargado aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a reproducir las disposiciones del RGPD, sino que debe incluir una información más específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de seguridad que se precisará para el tratamiento de los datos personales objeto del contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y estipulación de las condiciones del contrato sirven para especificar los detalles del tratamiento.” Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha parte será el responsable del tratamiento, aunque el contrato estipule que se trata del encargado” Para determinar la responsabilidad de la parte reclamada hay que tener en cuenta que, si un encargado del tratamiento infringe el Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento (artículo 28, apartado 10, del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 Sobre los «Los fines y medios» las citadas directrices recogen las siguientes consideraciones: “(…) Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue o que guía la actuación prevista» y la palabra medio como la «manera en que se obtiene un resultado o se alcanza un objetivo» (…) La determinación de los fines y los medios equivale a decidir, respectivamente, el porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el tratamiento de datos personales participa, por tanto, en la determinación de los fines y los medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto 7, del RGPD. El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios del tratamiento, tal como se describe más adelante. En consecuencia, no puede limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que un ente se considere responsable del tratamiento y en qué medida puede el encargado del tratamiento tomar decisiones propias. (…)” En este caso, teniendo en cuenta lo anteriormente expuesto, cabe concluir que el mero hecho de utilizar el terminal de contratación de las entidades Hubside Iberica, S.L. Sfam Iberica Servicios, S.L y Cyrana España General SL no exime de responsabilidad a la parte reclamada. Ésta no ha acreditado que actuara siguiendo las instrucciones detalladas de los citados responsables, por lo que cabe considerar que ha actuado como responsable del tratamiento, toda vez que ha decidido por sí misma tratar los datos personales de la parte reclamante con la finalidad de que fuera dada de alta en los servicios prestados por aquéllos. Asimismo, ha decidido el modo de tratarlos determinando los medios organizativos de este tratamiento, al no existir constancia de que la contratación se haya realizado siguiendo las instrucciones de los responsables. Así pues, la parte reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento y cedió los datos personales de la reclamante sin legitimación para ello con el fin de dar de alta un seguro de móvil, una tarjeta regalo y una página de dominios o creación web no solicitados por la parte reclamante, sin que haya acreditado que hubiese contratado legítimamente, dispusiera de su consentimiento para la recogida y el tratamiento posterior de sus datos personales, o existiese alguna otra causa que hiciese licito el tratamiento efectuado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 En consecuencia, ha efectuado un tratamiento de los datos personales de la parte reclamante sin que haya acreditado que cuente con la habilitación legal para ello. El artículo 6.1 RGPD dice que el tratamiento “será lícito si es necesario para la ejecución de un contrato en el que el interesado es parte”. Resultaba por ello esencial que la parte reclamada acreditara ante esta Agencia que la reclamante había contratado alguno de los mencionados servicios. La parte reclamante acredita que se efectuaron cargos en su cuenta bancaria por las entidades “Cyrana, Sfam y Hubside” a las que la reclamada cedió sus datos. Pues bien, consta en las manifestaciones hechas a esta Agencia con fecha 5 de agosto de 2021 por Hubside Iberica, S.L., Sfam Iberica Servicios, S.L., y el 9 de noviembre de 2020 por Cyrana España General S.L. que el 18 de junio de 2020, la reclamante acudió a la tienda “***TIENDA.2” del centro comercial ***CENTRO.1(***DIRECCIÓN.1, Las Palmas de Gran Canaria – 35010) y procedieron al registro de sus datos personales. El punto de venta suscribió en las aplicaciones internas de la empresa dichos datos, los cuales posteriormente a raíz de recibir la reclamación interpuesta por la reclamante han sido suprimidos en su totalidad de sus bases de datos. IV A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  11. a)a
  12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  14. b)la intencionalidad o negligencia en la infracción;
  15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  19. g)las categorías de los datos de carácter personal afectados por la infracción;
  20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 medida;
  21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  24. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  26. a)El carácter continuado de la infracción.
  27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de infracción, que no puede imputarse a la entidad absorbente. la
  31. f)La afectación a los derechos de los menores.
  32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer a la parte reclamada, como responsable de una infracción tipificada en el artículo 83.5.
  34. a)del RGPD, se estiman concurrentes los siguientes factores: - La vinculación de la actividad del infractor con la realización del tratamiento de datos personales (art. 83.2 k del RGPD en relación con el art. 76.2 b de la LOPDGDD). Por lo tanto, a tenor de lo anteriormente expuesto. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 6 permite fijar una sanción de 5.000 euros (cinco mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a MISTORE CANARIAS, S.L., con CIF B67594002, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 5.000€ (cinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a MISTORE CANARIAS, S.L.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  35. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  36. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.