← España

PS-00563-2024

1/24  Expediente N.º: EXP202407307 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de diciembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GESCONSULT, S.A. S.G.I.I.C. (en adelante, GESCONSULT), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202407307 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 3 de mayo de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a GESCONSULT, S.A. S.G.I.I.C. con NIF A28867000 (en adelante, GESCONSULT). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante es miembro del Comité de supervisión del fondo de inversión ***FONDO.1 (…), gestionado por la reclamada GESCONSULT, en la medida en que forma parte de una empresa (***EMPRESA.1) que tiene una inversión en ese fondo. El 28 de febrero de 2024 tuvo lugar una reunión del Comité, cuya celebración se realizó a través de sistema de videollamada de la aplicación Microsoft Teams de GESCONSULT, grabándose (imágenes y voz de los intervinientes) e informando a los participantes de la reunión que ésta iba a ser grabada y la grabación custodiada por GESCONSULT para las gestiones legales oportunas del Comité, sin que se informase de que dicha grabación pudiera ser utilizada para otra finalidad distinta. La parte reclamante y el resto de los intervinientes prestaron su conformidad a dicha grabación para dichos fines. La parte reclamante manifestó que GESCONSULT ha cedido la grabación (audio y vídeo) a un tercero ajeno al citado Comité, sin haber informado de la cesión ni haber solicitado consentimiento a los miembros del Comité y participantes en dicha reunión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 Asimismo, la parte reclamante indicó que el propio Director General de GESCONSULT reconoció, en conversación telefónica con ***PUESTO.1 de ***EMPRESA.1, el 25 de abril de 2024, haber cedido la grabación. El Director General de GESCONSULT dice que entregó el vídeo al ser el acta de la reunión. Junto a su reclamación aportaba:

  1. a)extracto de la grabación de la reunión del Comité con el inicio de la grabación, donde se puede apreciar la captación de imágenes y voz de los intervinientes.
  2. b)extracto de la conversación telefónica entre el Director General de GESCONSULT y ***PUESTO.1 de ***EMPRESA.1. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación a GESCONSULT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 14 de junio de 2024, la parte reclamada presentó en el Registro Electrónico de la AEPD respuesta a la actuación de traslado y solicitud de información, en el que ponía de manifiesto lo siguiente: "El acceso a los archivos digitales del citado fondo está reservado a personal que trabaja con la Gestora en relación de encargado del tratamiento, y a los profesionales vinculados por contratos que incluyen el deber de secreto profesional". "(...) con fecha 28 de febrero 2024 se reunieron los miembros integrantes del Comité de supervisión (...). Y, (...), todos los asistentes al mismo prestaron su consentimiento a la grabación de la sesión". "Con fecha 8 de marzo, 2024, un miembro del Comité de supervisión solicita el acta escrita del último Consejo de Administración de la Gestora, o en su defecto la grabación del mismo como acta de dicha reunión. En base a esta solicitud, los miembros del Comité de supervisión aceptan que las actas de las reuniones de la Gestora en general sean del Consejo u otras, pueden estar en formato escrito o, en su defecto, la grabación de la reunión toma consideración de acta. En consecuencia y dado el consentimiento expreso por parte del Comité de supervisión de la grabación de la reunión del 28 de febrero, implica que entienden su tratamiento posterior como acta de dicha reunión por parte de la Gestora, no realizando la Gestora acta escrita de la reunión. De este modo y dado que no existe acta escrita, la gestora la distribuye a los miembros del Comité que lo solicitan la grabación de la reunión como acta. No es si no posteriormente y a solicitud de partícipes, que hay efectivamente una remisión del Acta en modo grabación, que se distribuye a solicitud de quien está legitimado a pedirla, de acuerdo con Folleto y Reglamento del Fondo (...). No es hasta el 21 de marzo, 2024, cuando un miembro del Comité de supervisión redacta sin competencia ni facultad para hacerlo, un escrito nominándolo como acta (...). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 A requerimiento de los partícipes, ***EMPRESA.2 y ***EMPRESA.3, con fecha 19 de marzo, 2024, desde GESCONSULT se les facilitó copia de la grabación de la reunión del Comité. Adjuntamos como Documento agrupado No. 10, copia de las solicitudes, acompañando la grabación, con fecha 20 de marzo. Facilitada la copia de la grabación (...) a los miembros del Comité de supervisión, se dio la circunstancia el 21 de marzo de 2024, de que A.A.A., representante de la mercantil ***EMPRESA.1, Mutua de Seguros, accionista de GESCONSULT y participe ***FONDO.1, llevó a cabo por su cuenta y por iniciativa, (...), una versión escrita y propia de la grabación (...). Dicha versión se recibió en la Sociedad (...) el 21 de marzo habiéndose celebrado la sesión del Comité el 28 de febrero (...). La versión partió del contenido del Acta (la grabación facilitada), pero incluyendo manifestaciones propias e interpretaciones de lo acontecido. y añadiendo la firma de los miembros del citado Comité de supervisión, desconociéndose de quién parte la iniciativa de firmar esa transcripción. Los remitentes de los correos solicitando la grabación (...) de la sesión son dos de las personas identificadas dentro de la Sociedad como personas con cualificación para acceder al fichero, hacerlo en condiciones seguras y con autorización para remitir la documentación relativa al Fondo. (...) en fecha 11 de marzo de 2024, y por requerimiento expreso de la Comisión Nacional del Mercado de Valores, en el marco del proceso de inspección realizado a GESCONSULT sobre las entidades de capital riesgo gestionada, le fue remitida a dicho organismo el Acta (la grabación) de Reunión del Comité de supervisión de ***FONDO.1 (…). La cesión de esta información al organismo regulador no constituye una cesión de datos". Asimismo, aportaba, entre otras, la siguiente documentación: -funciones y obligaciones básicas de protección de datos, -Código de conducta, -informe sobre la custodia y acceso a los datos de fecha 29 de mayo de 2024, -folleto informativo del fondo, -reglamento de gestión del fondo, TERCERO: En fecha 24 de julio de 2024, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la inadmisión a trámite de la reclamación. La resolución fue notificada a la parte reclamante en fecha 24 de julio de 2024, según consta acreditado en el expediente. CUARTO: En fecha 8 de agosto de 2024 se interpuso recurso de reposición ante la Agencia Española de Protección de Datos contra la resolución recaída, mostrando su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 disconformidad con la resolución impugnada, solicitando que se admitiera a trámite la reclamación inicial presentada, y fundamentándola en los siguientes motivos: -la parte reclamante manifestaba que la reclamación se había interpuesto contra B.B.B. porque fue la persona que decidió unilateralmente ceder la grabación de la reunión del Comité a ***EMPRESA.2 y ***EMPRESA.3, partícipes del Fondo, que carecían de legitimación para acceder a su contenido y a los datos personales de quienes aparecen en la grabación. - añade que la reclamación no se interpone por el hecho de que la grabación se remitiese a la Comisión Nacional del Mercado de Valores, sino porque no consta el consentimiento previo y por escrito a la cesión de sus datos personales mediante la cesión de la grabación de la reunión del Comité a los citados ***EMPRESA.2 y ***EMPRESA.3. - a su vez, pone de manifiesto que el artículo 9.4 del reglamento del Fondo exige la forma escrita de las actas de las reuniones del Comité, y, por lo tanto, en ningún caso, la grabación de la reunión del Comité puede ser considerada como Acta, y que el único fundamento de la existencia de la grabación de la reunión del Comité del Fondo de 28 de febrero de 2024 era como apoyo para la elaboración del acta. Aporta un extracto de la grabación de la reunión, de 1:18 seg en el que se puede escuchar: “-(…).” - la parte reclamante reconoce que existió consentimiento para la grabación de la reunión, pero no existe consentimiento para que la grabación sea considerada como acta, sin perjuicio del requerimiento del reglamento del Fondo de que las actas deben revestir formato escrito. Añade que cuando envió el correo electrónico solicitando el acta o la grabación, no pretendía legitimar que la grabación pudiera tener la consideración del acta. Además, manifiesta que cuando se le remitió dicho video, se envió como “grabación de la reunión” sin que se hiciera constar que era el acta de la reunión. - la parte reclamante quiere aclarar que el acta elaborada posteriormente se redactó por C.C.C., miembro del equipo de GESTCONSULT y del equipo de gestión del Fondo, y la remitió a los miembros del Comité, como ocurrió con el acta anterior, aportando copia de los correos electrónicos donde se evidencia quien redactó dichos correos. Manifiesta que esta acta se redactó el 6 de marzo de 2024, y que esta persona fue despedida el día 8 de marzo de 2024. En este sentido, de la documentación aportada por la parte reclamante se puede ver: - un correo electrónico fechado el lunes 4 de marzo de 2024 a las 15:08 enviado por C.C.C. y por el que se remite el borrador del acta, dirigido entre otras personas a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24 - correo electrónico fechado el miércoles 6 de marzo de 2024 16:14, enviado por C.C.C., en el que se puede leer: “(…)”. - correo electrónico fechado el miércoles 6 de marzo de 2024 17:20, enviado por C.C.C., en el que se puede leer: “(…)”. - correo electrónico fechado el miércoles 6 de marzo de 2024 17:50, enviado por C.C.C., en el que se puede leer: “Corregido, adjunto nueva versión”. Por ello, quiere añadir que el 21 de marzo de 2024 los miembros del Comité le enviaron el acta consensuada por los miembros del Comité, que fue posteriormente firmada por los cuatro miembros del Comité. QUINTO: De conformidad con las previsiones del artículo 118 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en la tramitación del citado recurso se concedió trámite de audiencia a la parte reclamada para que formulara alegaciones y presentara los documentos y justificantes que estimara procedentes, presentando su escrito de alegaciones en fecha 25 de octubre de 2024, en el que básicamente exponía “que la grabación de la sesión, con el carácter de Acta de la misma se remitió a los miembros del Comité de supervisión y a dos partícipes del Fondo que lo solicitaron. (…) En el recurso se afirma que el artículo 9.4 del Reglamento del Fondo exige la forma escrita de las actas de las reuniones del Comité, y que, por lo tanto, en ningún caso la grabación de la reunión del Comité puede ser considerada como un acta. Y que el único fundamento de la existencia de la grabación de la reunión del Comité del Fondo de 28 de febrero de 2024 fue tomarla de apoyo para la elaboración del acta. Frente a esta afirmación, puede constatarse que el art. 9,4 del Reglamento del Fondo no exige expresamente forma escrita para el Acta. Es cierto que dice que la Sociedad “redactará” un Acta, y que redactar es poner por escrito algo, pero el término redactar no se está utilizando necesariamente en sentido excluyente, de forma que solo quepa pensar en un soporte documental escrito. No hay que olvidar que, en un sentido genérico, un Acta, en cuanto documento, es un testimonio material de un acto realizado por instituciones o personas, registrado en una unidad de información en cualquier tipo de soporte (papel, cintas, discos magnéticos, fotografías, etc.). Y en ese sentido la grabación proporcionada como Acta, tiene el carácter de tal. Como ya se informó en las anteriores alegaciones todos los concurrentes a la sesión eran conscientes de que se grababa la sesión y posteriormente se entregó la grabación como Acta de la misma. (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 SEXTO: Con fecha 26 de noviembre de 2024, se estimó el recurso de reposición presentado por la parte reclamante, basándose en los siguientes motivos: De lo expuesto se deduce que los partícipes del Fondo, que no son miembros del Comité de supervisión, tienen derecho a recibir copia del acta elaborada por la sociedad Gestora de las reuniones de dicho Comité. Así, el artículo 9.4 del Reglamento del Fondo dispone que “con posterioridad a cada reunión del Comité de supervisión la Sociedad Gestora redactará un acta cuya copia se enviará a los miembros del mismo, quedando el original en la Sociedad Gestora a disposición de todos los partícipes y partícipes de los Fondos Paralelos”, por lo que los partícipes del Fondo tienen a su disposición las actas del Comité. Sin embargo, no ha quedado acreditado que hubiera consentimiento expreso de los miembros del citado Comité de supervisión y, en concreto, de la parte recurrente, para que la grabación de la voz y de la imagen fuera considerada como un acta y, así, se pudieran ceder sus datos personales a terceros, partícipes del fondo, no integrantes del Comité de supervisión ni participantes en la citada reunión. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad GESCONSULT es una empresa constituida en el año 1983, y con una cifra de negocios de 3.035.564 euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  3. f)de la LPACAP. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GESCONSULT realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellido, imagen y voz, entre otros. GESCONSULT realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  11. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  12. c)y e), deberá ser establecida por:
  13. a)el Derecho de la Unión, o
  14. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  15. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  16. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  17. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  18. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  19. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En definitiva, el tratamiento de datos personales requiere la existencia de una base legal que lo legitime. La elección de la base más adecuada del tratamiento, en caso de existir varias, corresponde al responsable, igual que compete a este acreditar que el tratamiento se realiza conforme a una base de legitimación. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En este caso se ha de analizar la base de legitimación consistente en el consentimiento del interesado, al tratarse de la base alegada por la parte reclamada para justificar el tratamiento de los datos de la parte reclamante. La parte reclamante había manifestado que, al inicio de la reunión se les solicitó el consentimiento para la grabación de la sesión, pero dicho consentimiento se prestó para las gestiones legales oportunas del Comité. En ningún momento se informó de que dicha grabación pudiera ser utilizada para otra finalidad distinta. En consecuencia, la parte reclamante y el resto de los intervinientes prestaron su conformidad a dicha grabación para dichos fines, pero no para que la grabación pudiera ser considerada el acta de la reunión, y se enviara a terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 No obstante, debe tenerse en cuenta que la parte reclamante había prestado su consentimiento para una finalidad relacionada con la elaboración del acta, por lo que la parte reclamada tenía una base de legitimación para ello. Hay que considerar que la grabación de las reuniones es una actuación cada vez más generalizada donde se debe contar con una base de legitimación adecuada; incluso en algunos casos la consideración de la grabación como acta está establecida en determinadas normas. Además, el hecho de que la grabación se pudiera haber considerado acta de la reunión hubiera sido muy sencillo jurídicamente. Por lo general, un acuerdo interno, junto con la información adecuada en la que se comunicara de la posibilidad de grabación, finalidad, validez de las grabaciones como actas, y las posibles cesiones hubiera sido suficiente. Esto revela el impacto relativo que tiene esta cuestión en materia de protección de datos, puesto que podría haberse realizado con un cambio interno en el procedimiento de la organización, de tal forma que la incidencia real en el derecho de protección de datos hubiera sido prácticamente la misma. En este caso concreto, no se han encontrado evidencias de que esto sea así, por lo que faltaría esa base de legitimación, si bien como se ha indicado anteriormente contarían con la legitimación para grabar la reunión y poder realizar las gestiones legales oportunas del Comité. En este sentido, el considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” Por tanto, sólo se entenderá que hay un consentimiento válido cuando éste sea libre, específico, informado e inequívoco. Las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679, versión 1.1. adoptadas el 4 de mayo de 2020, por lo que aquí interesa indican lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 (
  20. i)Respecto del consentimiento específico, que “(…) la obtención del consentimiento válido va siempre precedida de la determinación de un fin específico, explícito y legítimo para la actividad de tratamiento prevista” (párrafo 56) (
  21. i)En cuanto al consentimiento informado, que “El responsable del tratamiento debe asegurarse de que el consentimiento se facilita sobre la base de información que permita a los interesados identificar fácilmente quién es el responsable y comprender qué es lo que están autorizando. El responsable debe describir claramente el fin del tratamiento de datos para el que se solicita consentimiento” (párrafo 68) (
  22. ii)Y en lo relativo al consentimiento inequívoco, que “(…) Debe resultar evidente que el interesado ha dado su consentimiento a una operación concreta de tratamiento de datos.” (párrafo 75) Por otra parte, el artículo 24 del RGPD desarrolla el principio de responsabilidad proactiva del responsable del tratamiento, exigiendo que su actuación no solo sea conforme al RGPD, sino que, además, sea capaz de demostrarlo: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. Y en particular, en relación con el consentimiento del interesado, el artículo 7.1 del RGPD declara que “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.” En el presente caso, ha quedado constatado que, en fecha 28 de febrero de 2024 se produjo una reunión del Comité de supervisión del fondo de inversión A.A.A., gestionado por GESTCONSULT, en la que participó la parte reclamada. Esta reunión se realizó mediante videollamada, y fue grabada, con imagen y voz de las personas participantes. En el video de 9:13 minutos, aportado por la parte reclamante, se observa que, en el minuto 4:14 se recoge: -“entiendo que se está grabando, ¿no? - creo que se está grabando esto… ¿Cómo se graba? -a mí me sale… -sí, se pone un puntito ahí rojo con lo cual se debe estar grabando. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 - ¡ah! Se está grabando, perfecto. -(...), ¿estás grabado tú? -Si, se está grabando desde GESTCONSULT, está ya arrancada (…) está instalada desde GESTCONSULT para que se quede en la cuenta “GESTCONSULT JUNTAS” es por lo que os pedía lanzar la convocatoria desde ahí. -vamos a esperar a A.A.A.…”. El video prosigue esperando a que se incorpore una persona, que es la parte reclamante, y cuando se incorpora se pasa a hablar de cuestiones relativas al Fondo. Con posterioridad, la parte reclamante tuvo conocimiento de que la grabación había sido cedida a un tercero, y se explicó que se había entregado el video como acta de la reunión. Por otro lado, en el Reglamento de Gestión del Fondo en el apartado 9.4 último párrafo, relativo a la adopción de acuerdos se recoge: “Con posterioridad a cada reunión del Comité de supervisión la Sociedad Gestora redactará un acta cuya copia se enviará a los miembros del mismo, quedando el original en la Sociedad Gestora a disposición de todos los Partícipes y Partícipes de los Fondos Paralelos” (el subrayado es nuestro). Además, en la documentación aportada por la parte reclamada en la contestación al traslado, de fecha 14 de junio de 2024, hay una cadena de correos entre el Director general y personal de la reclamada y un tercero, en los que se puede leer: - Correo electrónico de fecha 15 de marzo de 2024: “(…) muchas gracias por las aclaraciones, pero me podrías mandar las actas de los últimos 4 ***comités de inversión, y las últimas 4 actas de los ***comités de supervisión? Gracias de nuevo” - correo electrónico de fecha 19 de marzo de 2024: “(…) Te adjunto las actas de los últimos ***comités de inversión. Respecto a los ***comités de supervisión, hemos tenido 3: 1. septiembre 2023: tenemos que acabar de recoger las firmas de todos los miembros. 2. febrero de 2024: el Comité está grabado y está pendiente de transcribirlo. 3. marzo 2024: será mañana, os informaremos de cualquier noticia. (…)”. -correo electrónico de 20 de marzo de 2024: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 “(…) muchas gracias por los informes de inversión. ¿Aunque no esté firmado el de septiembre, me lo puedes mandar? ¿Me mandas la grabación del de febrero? (…)” -Correo electrónico de 20 de marzo de 2024: “(…) Como acabamos de comentar, te adjunto el acta del Comité de supervisión de septiembre ya firmado, y la grabación del de febrero (…). En cuanto tengamos el acta del Comité de supervisión de hoy, os lo hacemos llegar. (…)”. Además, la parte reclamante aportó un extracto del video de la reunión del Comité al interponer el recurso de reposición, en el que precisamente se hace referencia al hecho de que el acta conste por escrito, manifestando lo siguiente: “-(…).” La parte reclamante ha manifestado que la reclamación no se interpone por el hecho de que la grabación se remitiese a la Comisión Nacional del Mercado de Valores, sino porque no consta el consentimiento previo y por escrito a la cesión de sus datos personales mediante la cesión de la grabación de la reunión del Comité a los citados ***EMPRESA.2 y ***EMPRESA.3. Y respecto a su uso como Acta de la reunión del Comité, aclara que, en ningún caso, la grabación de la reunión del Comité puede ser considerada como Acta, y que el único fundamento de la existencia de la grabación de la reunión del Comité del Fondo de 28 de febrero de 2024 era como apoyo para la elaboración del acta. Así las cosas, la parte reclamante reconoce haber prestado su consentimiento para que se realizara la grabación de la sesión como apoyo para las gestiones legales oportunas del Comité, pero, por el contrario, niega haber facilitado su consentimiento para la cesión de la grabación de su imagen a terceros ni para que fuera utilizada como Acta de la reunión del Comité. La parte reclamada tenía una base de legitimación para la elaboración del acta, aunque no para poder considerarla acta de la reunión. Una aclaración en este sentido se realiza durante la reunión. Los textos legales citados imponen al responsable del tratamiento la obligación de acreditar que el consentimiento se obtuvo válidamente, esto es de conformidad con lo dispuesto en el artículo 4.11 del RGPD. Según expresa la SAN de 5 de mayo de 2021, Rec.1434/2020, en su el F.D. 6º “corresponde a quien realiza el tratamiento acreditar que ha obtenido el consentimiento del afectado cuando – como aquí sucede – niegue haberlo otorgado, y a tal fin deberá arbitrar los medios necesarios para ello…”. Cuestión que la Sala reitera, respecto del consentimiento inequívoco, en su reciente SAN de 13 de febrero de 2025, rec. 1005/2022, en la que indica, lo siguiente: “El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia, como dijimos en nuestras Sentencias de 1 de febrero de 2006 -recurso nº. 250/2004-, 20 de septiembre de 2006 -recurso nº. 626/2004-, 17 de noviembre de 2014 -recurso nº. 124/2013-, y 1 de junio de 2018 -recurso nº. 942/2016-, entre otras muchas. Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en la Sentencia de 28 febrero 2007 -recurso nº.236/2005-, el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. La carga de acreditar la existencia del “consentimiento inequívoco”, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010-).” Del análisis de la documentación que obra en el expediente y de lo expuesto hasta el momento se puede inferir que no existe constancia de que los miembros del Comité fueran informados adecuadamente de la finalidad para la que iba a ser utilizada la grabación a fin de obtener un consentimiento informado, específico e inequívoco. En este sentido, de la propia reclamación se extrae que la parte reclamante habría prestado su consentimiento para que se efectuara la grabación, pero únicamente para las gestiones legales oportunas del Comité, pero no para los fines para los que luego se utilizó, incluso del contenido del extracto de la grabación reproducido, se deduce claramente que la parte reclamante no consideró que la grabación fuera a ser utilizada como acta de la reunión, pues afirma que “estoy de acuerdo en que algo debería de escribirse”. En definitiva, de las circunstancias expuestas se infiere que la parte reclamada no habría obtenido el consentimiento específico, informado e inequívoco de la parte reclamante a efectos del RGPD, para que la grabación de la sesión fuera considera el acta de la reunión. Por tanto, no ha quedado acreditado que hubiera un consentimiento para que la grabación de la sesión pudiera ser considerada el acta de la reunión, en los términos del RGPD, ni que pueda aplicarse alguna otra de las bases de legitimación previstas en el artículo 6 del RGPD que ampare el tratamiento de los datos de la parte reclamante con las finalidades anteriormente expuestas. Es más, de la cadena de correos electrónicos aportados por la parte reclamada en la contestación al escrito de traslado, se observa que uno de los interlocutores solicitaba que se le enviaran las actas de las sesiones. En la contestación a su correo, se le comunicaba que, respecto a los ***comités de supervisión, había habido 3: “1. Septiembre 2023: tenemos que acabar de recoger las firmas de todos los miembros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 2. Febrero 2024: el Comité está grabado y está pendiente de transcribirlo. 2. Marzo 2024: será mañana, os informaremos con cualquier noticia.” La persona que solicitaba las actas en un primer momento, vuelve a contestar “aunque no esté firmado el de septiembre, ¿me lo puedes mandar? ¿Me mandas la grabación del de febrero?”, a lo que se le contesta: “como acabamos de comentar, te adjunto el acta del Comité de supervisión de septiembre ya firmado, y la grabación del de febrero”- (…) sin especificarse en ningún momento que será considerado el acta de la reunión. A esto se añade que, cuando se le envía la copia de la grabación en fecha 29 de febrero de 2024, el mensaje recoge “grabación de la reunión” y no “acta de la reunión”. Así pues, dicha grabación ni siquiera puede considerarse el acta de la reunión del Comité de supervisión, y ésta no debería haberse facilitado a terceros ajenos a dicho Comité, pues ni hubo consentimiento expreso para ello ni dicha previsión se recoge en el Reglamento del Fondo, que únicamente contempla que se ponga a disposición de los partícipes del FONDO el acta de las reuniones del Comité de supervisión. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a GESCONSULT, por vulneración del artículo 6 del RGPD. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  23. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24
  24. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  25. a)a
  26. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  27. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  28. b)la intencionalidad o negligencia en la infracción;
  29. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  30. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  31. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  32. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  33. g)las categorías de los datos de carácter personal afectados por la infracción;
  34. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  35. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24
  36. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  37. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  38. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  39. a)El carácter continuado de la infracción.
  40. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  41. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  42. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  43. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  44. f)La afectación a los derechos de los menores.
  45. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  46. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76.2 de la LOPDGDD anteriormente reproducidos. Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  47. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera con carácter previo el volumen de negocio de GESCONSULT de 3.035.564 euros en el año 2023. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 mayor cuantía. Por tanto, en este caso se ha de optar por un importe máximo de 20.000.000 de euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
  48. a)del RGPD): La infracción valorada se comete por el tratamiento ilícito de los datos personales de aquellas personas que prestaron su consentimiento para la realización de las gestiones legales oportunas del Comité, si bien sólo se ha recibido una reclamación de la parte reclamante. También se ha de considerar que se han cedido a 2 entidades ajenas al Comité de supervisión la grabación con la imagen y la voz de los 6 participantes, de la reunión del citado Comité de 28 de febrero de 2024, sin que conste la existencia de que dicha grabación pueda ser considerada el acta de la reunión, en la que se están tratando cuestiones propias del fondo, que tienen carácter confidencial. Hay que matizar que la parte reclamada sí tenía una base de legitimación para la realización de las gestiones legales oportunas del Comité y que la utilización de grabaciones como actas es una actuación cada vez más habitual. • La intencionalidad o negligencia en la infracción (artículo 83.2.
  49. b)del RGPD): Se observa en la conducta de la parte reclamada podría considerarse negligente en cierta medida, por incumplimiento del deber de cuidado exigido por la ley, si bien contaba con una base de legitimación para actividades relacionadas con la realización del acta.  Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  50. g)del RGPD): Se han tratado los datos de imagen y voz de la reclamante. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 5.000,00 euros. VII Medidas correctivas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/24 De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 6.1 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  51. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a GESCONSULT para que, en el plazo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas necesarias para garantizar que cuenta con base de legitimación para poder realizar grabaciones de las reuniones del Comité así como poder comunicar las mismas. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. La imposición de medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/24 PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a GESCONSULT, S.A. S.G.I.I.C., con NIF A28867000, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructora a R.R.R y, como secretaria, a S.S.S., indicando que podrán ser recusadas, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  52. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 5.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a GESCONSULT, S.A. S.G.I.I.C., con NIF A28867000, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/24 A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.000,00 euros o 3,000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  53. es)y de la Sede electrónica (sedeagpd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-290125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 18 de diciembre de 2025, GESCONSULT ha procedido al pago de la sanción en la cuantía de 3.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  54. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/24 Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/24 III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 3.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, GESCONSULT ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 5.000,00 euros. Tras haber procedido GESCONSULT, S.A. S.G.I.I.C. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 3.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202407307, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a GESCONSULT, S.A. S.G.I.I.C. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/24 adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a GESCONSULT, S.A. S.G.I.I.C.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  55. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  56. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.