PS-00583-2016

1/10 Procedimiento Nº: PS/00583/2016 RESOLUCIÓN R/00523/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00583/2016, instruido por la Agencia Española de Protección de Datos a la entidad PES SYSTEMS S.L., vista la denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 14/12/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad PES SYSTEMS S.L., mediante el Acuerdo que se transcribe: <<HECHOS PRIMERO: Con fecha de 1 de febrero de 2016 tiene entrada en esta Agencia un escrito de A.A.A. en el que se pone de manifiesto que a través de Google se pueden localizar datos de envíos realizados por la empresa de mensajería CORREOS EXPRESS PAQUETERIA URGENTE S.A. (en adelante CORREOS EXPRESS) en los que figuran datos personales. El denunciante aporta el resultado de la búsqueda en Google del literal “correos express en arrastre” en la que constan dos referencias a la web www.correosexpress.com e impresión de pantalla de dos resultados obtenidos a través de la web mencionada donde figuran los datos personales del remitente y del destinatario: nombre y apellidos o nombre de empresa, dirección postal, dirección de correo electrónico y teléfono junto con una descripción de la situación en que se encuentra el envío. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CORREOS EXPRESS PAQUETERIA URGENTE, S.A., PES SYSTEMS S.L., RAPID EXPRESS S.A., teniendo conocimiento de que: 1. Con fechas 2 de febrero y 3 de marzo de 2016, desde la Inspección de Datos se comprueba que en la dirección https://www.corrresoexpresss.com/.... permite el acceso a la situación de envíos realizados a través de la empresa CORREOS EXPRESS con los datos de nombre y apellidos del destinatario, dirección postal, dirección de correo electrónico, teléfono y copia del documento de acuse de recibo firmado por el destinatario junto con la fecha y hora de la entrega. Asimismo consta como remitente la empresa RAPID EXPRESS COURIER, S.A. (en adelante RAPID). En la primera búsqueda se obtienen cuatro resultados y en la segunda un solo resultado. 2. Con fecha 15 de abril de 2016, desde la Inspección de Datos se realizan nuevas búsquedas a través de Google obteniendo información de dos resultados a pesar de que en uno de ellos consta la leyenda “No hay disponible una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 descripción de este resultado debido al archivo robots.txt de este sitio”. Respecto de las empresas investigadas CORREO EXPRESS Y RAPID 3. En fecha 13 de abril de 2016 se realiza la inspección E/553/2016-I/1 en la empresa CORREO EXPRESS. En fecha 23 y 31 de mayo de 2016 se realiza la inspección E/553/2016-/12 en los locales de RAPID. En fecha 16 de junio de 2016 se realiza una nueva inspección E/553/2016-I/3, en la empresa CORREO EXPRESS. En fecha 8 de noviembre de 2016 se realiza una inspección en la empresa PES SYSTEMS, S.L. con la que RAPID tiene suscrito un contrato de prestación de servicios de suministro y mantenimiento de software y hosting, de fecha 1 de septiembre de 2010. (Copia del contrato mencionado se encuentra en la documentación adjunta al acta de Inspección E/553/2016-I/2 como documento DOC 1). Tal y como consta en la Actas: a. Los clientes de CORREOS EXPRESS pueden ser empresas, particulares y agregadores, estos últimos ofrecen sus propios servicios de paquetería a sus clientes utilizando la infraestructura de CORREOS EXPRESS. Entre estas empresas se encuentra RAPID con la que tiene suscrito un contrato de prestación de servicios de fecha 1 de enero de 2005. b. CORREOS EXPRESS pone a disposición de sus clientes una página web en la dirección www.correosexpress.com, la cual ofrece, entre otras, la posibilidad de hacer un seguimiento de los envíos. Tanto el remitente como el destinatario pueden consultar el seguimiento del envío utilizando como argumento de búsqueda el número de envío y el código postal del destino, accediendo únicamente a la información del envío puntual. Las compañías agregadoras disponen de su propia página web a la que acceden sus clientes, los cuales aportan los datos identificativos del envío (código postal y número de envío) siendo la propia página, con los datos aportados, la que realiza la consulta sobre el Sistema de Información de CORREOS EXPRESS. c. RAPID tiene por objeto el servicio express de recogida, transporte y entrega de paquetería tanto en territorio nacional como internacional. Los envíos locales son realizados por personal de RAPID y para los envíos en territorio nacional utilizan la infraestructura de CORREOS EXPRESS. Los clientes de RAPID pueden ser empresas y particulares. d. RAPID pone a disposición de sus clientes una página web en la dirección www.rapidexpress.es, la cual ofrece, entre otras, la posibilidad de hacer seguimiento de los envíos. Los clientes particulares de RAPID pueden consultar el seguimiento del envío utilizando como argumento de búsqueda el número de envío y el código postal de destino, accediendo únicamente a la información del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 envío puntual. Los clientes empresas utilizan la web de RAPID identificándose con un código de usuario y contraseña y así poder realizar el seguimiento de todos sus envíos. Respecto de los hechos denunciados 4. En las inspecciones realizadas en CORREOS EXPRESS se ha verificado que, con fecha 3 de febrero de 2016, la empresa tuvo conocimiento de la indexación por Google de 39 registros de un volumen de 130.000 envíos diarios y, después de analizar la incidencia, consideran que fue debida a una incorrecta configuración de las herramientas de terceros, en este caso de RAPID. CORREOS EXPRESS manifiesta que el acceso a los seguimientos de envíos por parte de RAPID debe contener los datos correspondientes a número de envío y código postal, junto con el certificado que identifica a RAPID de tal forma el servidor web de CORREOS EXPRESS facilita los datos accediendo a la base de datos y construyendo dinámicamente la pantalla que se le muestra al cliente sin que se generen ficheros temporales que contenga dichas pantallas ni las URL’s que se generan. CORREOS EXPRESS manifiesta que el servidor web de CORREOS EXPRESS facilita los datos relativos al seguimiento de los envíos únicamente en el momento que son solicitados por los usuarios que han establecido previamente la conexión con el servidor, conexión a la que no es posible que accedan los motores de búsqueda de GOOGLE. A este respecto, en la Inspección realizada se ha accedido a la web www.correosexpress.com, opción “SEGUIMIENTO”, y una vez cumplimentado los datos relativos al número de seguimiento y envío, se extrae el código fuente que permite la consulta sin obtener constancia de que se permita la indexación por parte de los buscadores. 5. En la inspección realizada a RAPID se ha verificado que los cinco envíos correspondientes al seguimiento que figuraban en los enlaces públicos de Google, en fechas 2 de febrero y 3 de marzo de 2016 constan como clientes, y según manifiesta RAPID son clientes particulares. RAPID manifiesta que en el seguimiento de envíos para particulares establece una conexión directa a través de Internet a la web de CORREOS EXPRESS. Con el número de envío y el código postal de destino que se registran ya en la página web de CORREOS EXPRESS. A este respecto, se ha verificado que a través de la opción “SEGUIMIENTO” de la web de RAPID (envíos nacionales para particulares) el código fuente contiene una redirección a la página www.correosexpress.com/.. sin obtener constancia de que se permita la indexación por parte de los buscadores. RAPID manifiesta que el seguimiento de los envíos de los clientes empresas en se genera una URL, en el momento de la consulta, que redirecciona a la página web de CORREOS EXPRESS. Dicha URL incluye el código de envío y el código postal realizándose directamente el acceso a los datos del envío en la página web de CORREOS EXPRESS. La URL generada no se almacena en ningún fichero temporal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 A este respecto, se ha verificado en el código fuente del acceso a la opción de seguimiento de envíos nacionales para empresas que se genera una URL de conexión en el momento del acceso, que se modifica inmediatamente en el momento de la visualización de los datos, lo cual no permite acreditar que se produzca una indexación por los buscadores. 6. Con fecha 15 de julio de 2016 se solicita información a GOOGLE INC. con objeto de identificar la URL que ha permitido la indexación de los datos de los envíos. En la respuesta de Google, en agosto de 2016, aporta la URL http://www.rapexp.es............. Con fecha 2 de agosto de 2016, desde la Inspección de Datos, se accede a la URL http://www.rapexp.es............, verificando que permiten el acceso a aproximadamente 2800 registros con información del Estado de Recogidas de RAPID en los que figuran datos personales de nombre y apellidos y dirección postal. En fecha 4 de noviembre de 2016, se realiza una nueva consulta verificando que se permite el acceso a unos 4400 registros con la información mencionada. 7. El dominio rapexp.es es titularidad de la empresa PES SYSTEMS S.L., tal y como consta en la web www.nic.es. 8. PES SYSTEMS, S.L. es una empresa constituida en el año 1990 y tiene como objeto social la comercialización de programas informáticos para empresas de mensajería. Actualmente cuenta con dos empleados y tiene un volumen de facturación de 70.000 euros al año. Es titular, entre otros, del dominio rapexp.es. Entre sus principales clientes se encuentra RAPID. PES SYSTEMS S.L, tiene contratado un servicio de hosting para RAPID en la dirección del servidor ftp://rapexp@www.pes-systems.es. Se ha verificado en la dirección del servidor mencionada se encuentra el fichero “****.php” que contiene el código de programación que incluye a la URL http://www.rapexp.es............. PES SYSTEMS S.L manifiesta que este fichero es el panel de control de acceso al portal de RAPID y como medida de seguridad solo se permitía el acceso cuando la dirección IP correspondía a RAPID. Hace aproximadamente un año, RAPID solicitó una modificación de la aplicación que permitiera el acceso al portal a sus empleados cuando se encuentran fueran de sus locales a través de dispositivos móviles que no disponen de una dirección IP fija, lo que produjo la desactivación del control de la dirección IP. Se ha verificado que en la carpeta ftp://rapexp@www.pes-systems.es.donde se almacenan los ficheros de programación, entre ellos el fichero “****.php”, tiene el fichero “robots.txt” configurado para que la carpeta completa del servidor no sea indexada por los buscadores (user-agent: * Disallow: /), no obstante Google ha indexado el fichero citado, cuando según manifiesta PES SYSTEMS, S.L. el fichero “****.php” nunca debería haber sido indexada por Google. 9. PES SYSTEMS S.L. en el transcurso de la Inspección y una vez detectado el problema, ha procedido a subsanación del mismo reactivando el acceso único al fichero “****.php” únicamente a la IP de RAPID y han modificado el acceso de la URL http://www.rapexp.es............ a una página de error. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 A este respecto, los inspectores comprueban que utilizando la URL http://www.rapexp.es............ devuelve el error “no se puede acceder a este sitio web”. Asimismo se realiza una búsqueda en Google del link ............ verificando que devuelve el mensaje “no obtuvo ningún resultado”. FUNDAMENTOS DE DERECHO I Los hechos expuestos podrían suponer por parte de PES SYSTEMS S.L., de la comisión de la infracción del infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.”, en relación con lo dispuesto en los artículos 91 y 93 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RDLOPD en adelante) que establecen lo siguiente: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. , tipificada como grave en el artículo 44.3

1. h)de dicha norma, que considera como tal “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen“, pudiendo ser sancionada con multa de 40.001 € a 300.000 € , de acuerdo con el artículo 45 de la citada Ley Orgánica. II Los hechos expuestos podrían suponer por parte de PES SYSTEMS S.L., de la comisión de la infracción del infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo, tipificada como grave en el artículo 44.3
2. d)de dicha norma, que considera como tal La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley., pudiendo ser sancionada con multa de 40.001 € a 300.000 € , de acuerdo con el artículo 45 de la citada Ley Orgánica. III Dispone el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, (LRJSP en adelante) lo siguiente: Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida. En los hechos objeto de análisis, se desprende que de la presunta comisión de la infracción del artículo 9 de la LOPD, la vulneración de la implantación de medidas de seguridad adecuadas, se ha producido la presunta comisión de la infracción del artículo 10 de la LOPD, la vulneración del deber de secreto. Por lo que de acuerdo con lo dispuesto en el art. 29.5 de la LRJSP será únicamente objeto de análisis la conducta prevista en el artículo 44.3
3. h)relacionada con la vulneración de la obligación de implantación de medidas de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 IV Tras las evidencias obtenidas en la fase de investigaciones previas y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5 de la LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, en concreto, la circunstancia prevista en el apartado
4. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD, estimándose como circunstancias agravantes las previstas en el apartado
5. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, en el sentido de que la entidad denunciada gestiona el mantenimiento de una web donde se trata, entre otra tipo de información, datos de carácter personal,
6. f)El grado de intencionalidad, en el sentido de que la instauración de las medidas que protegen el servidor donde se alojaban los datos que han sido revelados corresponde a la entidad denunciada y en concreto la desactivación del control de acceso basado en la dirección IP fija, y finalmente la circunstancia prevista en el apartado
7. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas, en el sentido de que datos de carácter personal han estado accesibles en la red internet, determinándose la cuantía de la sanción por vulneración del art. 9 de la LOPD, en la cuantía de 6.000 euros. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a PES SYSTEMS, S.L con arreglo a lo dispuesto en el artículo 127 del RDLOPD, por la presunta infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3
8. h)de la citada Ley Orgánica. 2. NOMBRAR como Instructor a D. ……… y como Secretaria a Dña. ………. indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones, y el Informe de Actuaciones Previas de Inspección E/0553/2016. 4. QUE a los efectos previstos en el art. 64.2
9. b)de la ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y art. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 127 letra
10. b)del RLOPD, la sanción que pudiera corresponder por la infracción del artículo 9 de la LOPD sería de 6.000 euros, sin perjuicio de lo que resulte de la instrucción. Asimismo, de conformidad con los artículos 64.2.
11. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1.200 € (mil dos cientos euros). Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800 € (cuatro mil ochocientos euros) resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 1.200 € ( mil doscientos euros). Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800 € (cuatro mil ochocientos euros) y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.600 (tres mil seiscientos euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.800 o 3.600 euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00583/2016, y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. 5. NOTIFICAR el presente Acuerdo a PES SYSTEMS S.L, indicándole expresamente su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
12. f)del artículo 127 del RLOPD. De conformidad con lo establecido en el artículo 37 de la LOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno.>> SEGUNDO: En fecha 22/12/2016 la entidad PES SYSTEMS S.L. ha procedido al pago de la sanción en la cuantía de 3.600 euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 22/12/2016 tuvo entrada en esta Agencia escrito de la entidad PES SYSTEMS S.L., en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00583/2016, de SEGUNDO: NOTIFICAR la presente resolución a PES SYSTEMS S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es