← España

PS-00598-2021

1/14 Expediente Nº: PS/00598/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SONY INTERACTIVE ENTERTAINMENT EUROPE LIMITED (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 9 de junio de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: PS/00598/2021 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 9 de abril de 2021, la Subdirección General de Inspección de Datos (SGID) recibió para su valoración un escrito de notificación de brecha de seguridad de los datos personales remitido por Sony Interactive Entertainment Europe Limited con NIF 03277793 (en adelante, SIEE), recibido en fecha 29/03/2021, en el que informa a la Agencia Española de Protección de Datos de lo siguiente: “Un cliente, con sede en Francia, utilizó el servicio de devoluciones de productos de Sony debido a un problema con una consola que había comprado. (…). Junto a la notificación se aporta copia de un correo electrónico enviado a la dirección ***EMAIL.1 el día 25/03/2021, en el que comunicaban una violación de datos detectada, así como la respuesta recibida en la que se les informa del canal adecuado para la notificación de brechas. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Fecha de detección de la brecha: 15 de marzo de 2021. Resumen de las notificaciones: Con fechas 29 de marzo, 13 de abril y 4 de mayo de 2021 se reciben tres notificaciones de brecha en las que se informa a la Agencia que, un cliente con sede en Francia que tenía un problema con una consola que había adquirido, (…). Han notificado la brecha de seguridad a Francia, Italia, Luxemburgo, Polonia, Austria, Dinamarca, Finlandia, Letonia, Portugal, Bélgica, Estonia, Alemania, Irlanda, Lituania, Holanda y Suecia además de España. Respecto de la empresa  Sony Corporation, es una de las compañías más grandes a nivel mundial innovando en el ámbito de la tecnología, la música y los videojuegos. Fue fundada el 7 de mayo de 1946 y su sede se encuentra en Tokio (Japón).  Sony Interactive Entertainment (SIE) es un desarrollador multinacional de videojuegos y filial del Grupo de Productos y Servicios al Consumidor de Sony Corporation. La compañía fue fundada el 16 de noviembre de 1993 extendiéndose por Norteamérica y otros países. En abril de 2016, comenzó a llamarse Sony Interactive Entertainment, (SIE).  Sony Interactive Entertainment (SIE) es responsable de la marca PlayStation, así como de su gama de productos y servicios. Y es titular de la web ***URL.1. En la dirección web ***URL.2 a la que se redirige también desde la búsqueda en Google de Sony para España, figura que SIEE se encuentra ubicada en Reino Unido y California.  Asimismo en la Política de Política de Privacidad en la dirección ***URL.3 consta la ubicación de la empresa en Londres y en el apartado de los derechos de los usuarios figura que ante un posible incumplimiento “puede notificarse al organismo regulador de protección de datos local o a la Oficina del Comisionado de Información ('ICO') de Reino Unido. El usuario puede encontrar más información sobre cómo notificar un problema a la ICO en ***URL.4  En la información disponible en la dirección ***URL.5 donde figura las sedes actuales de SIE se indica que la sede de Inglaterra SIEE controla las operaciones en Europa.  No se han encontrado en Sigrid expedientes anteriores al presente con relación a brechas de seguridad de esta entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final (…). Respecto de las causas que hicieron posible la brecha (…). Respecto de los datos afectados (…). Respecto del contrato de encargado del tratamiento (…). Respecto de las medidas de seguridad implantadas (…). Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo SIEE no tiene conocimiento de ningún caso similar que ocurriera con su sitio web PlayStation Fix & Replace . CUARTO: Con fecha 18 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los Artículos 32 y 34 del RGPD, tipificada en el Artículo 83.4 del RGPD, y Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta : PRIMERO.- Que el día 11 de mayo de 2022, se ha notificado a SONY el acuerdo de inicio de procedimiento sancionador con número PS/00598/2021. En dicho acuerdo, se imputa a SONY la comisión de las siguientes posibles infracciones: • Infracción del artículo 5.1.
  2. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 elativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 (“RGPD”) por haberse producido un acceso indebido a datos personales de los que es responsable SONY; • infracción del artículo 32 del RGPD al no haberse adoptado las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo; • infracción del artículo 34 del RGPD al no haber comunicado la brecha de seguridad de los datos personales a los interesados afectados. SEGUNDO.- Que la multa propuesta para las anteriores sanciones son las siguientes: • 100.000 euros por la infracción del artículo 5.1.
  3. f)del RGPD; • 60.000 euros por la infracción del artículo 32 del RGPD; • 40.000 euros por la infracción del artículo 34 del RGPD. TERCERO.- Que en el acuerdo de inicio de procedimiento sancionador se informa a SONY de la posibilidad de reconocer su responsabilidad, obteniendo una reducción del 20% sobre la multa inicialmente propuesta, y de efectuar el pago voluntario de la multa, consiguiendo una reducción adicional del 20%. ALEGACIONES.- SONY no reconoce su responsabilidad de ninguna de las infracciones que la Agencia alega que cometió, especialmente respecto a la falta de comunicación a los interesados afectados por la brecha de seguridad. La comunicación no se realizó porque, al realizar la evaluación de la misma, se consideró que no revestía de gravedad suficiente para realizarla. En este sentido, desea resaltar que: • SONY no detectó, y no es conocedor de hecho alguno que así lo pudiera indicar, que ninguna persona afectada por la brecha sufriera un ataque malicioso o un uso fraudulento derivado de la citada brecha de seguridad. • Tras la detección de la brecha de seguridad, SONY procedió a adoptar las medidas de remediación correspondientes con el objetivo de proteger las cuentas de los afectados de cualquier cambio de cuenta o uso de su información que pudieran sufrir. Estas protecciones especiales aún siguen vigentes a día de hoy. • De acuerdo con la evaluación de la brecha llevada a cabo, y teniendo en cuenta las circunstancias de la incidencia y el tipo de datos afectados, todos los riesgos detectados se catalogaron como de naturaleza bajo a medio (entre ellos, la amenaza de fraude). En concreto, la amenaza de recibir spam se catalogó como un riesgo de nivel medio. No obstante, la gravedad de este riesgo en los derechos y libertades de los afectados se identificó como bajo. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 HECHOS PROBADOS PRIMERO: Consta acreditado que un cliente utilizó el servicio de devoluciones disponible en la web de SIEE y descubrió que (…). SEGUNDO: Consta acreditado que el cliente (…). TERCERO: Consta acreditado que SIEE detecto (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Alegaciones aducidas En respuesta a las alegaciones presentadas por SIEE se procede a dar respuesta a las mismas: PRIMERA Y UNICA: Alega SIEE que, respecto a la falta de comunicación a los interesados afectados por la brecha de seguridad, la comunicación no se realizó porque, al realizar la evaluación de la misma, se consideró que no revestía de gravedad suficiente para realizarla. • SIEE no detectó, y no es conocedor de hecho alguno que así lo pudiera indicar, que ninguna persona afectada por la brecha sufriera un ataque malicioso o un uso fraudulento derivado de la citada brecha de seguridad. • Tras la detección de la brecha de seguridad, procedió a adoptar las medidas de remediación correspondientes con el objetivo de proteger las cuentas de los afectados de cualquier cambio de cuenta o uso de su información que pudieran sufrir. Estas protecciones especiales aún siguen vigentes a día de hoy. • De acuerdo con la evaluación de la brecha llevada a cabo, y teniendo en cuenta las circunstancias de la incidencia y el tipo de datos afectados, todos los riesgos detectados se catalogaron como de naturaleza bajo a medio (entre ellos, la amenaza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 de fraude). En concreto, la amenaza de recibir spam se catalogó como un riesgo de nivel medio. No obstante, la gravedad de este riesgo en los derechos y libertades de los afectados se identificó como bajo. -A este respecto, y antes de entrar a valorar las alegaciones, esta Agencia quiere poner de manifiesto lo siguiente: -La infracción imputada por vulneración del artículo 34.1 del RGPD, tipificada en el artículo 83.4 del RGPD, se regula, a efectos de prescripción, en el artículo 74 de la LOPDGDD “Infracciones consideradas leves” que indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…) ñ) El incumplimiento del deber de comunicación al afectado de una violación de la seguridad de los datos que entrañe un alto riesgo para los derechos y libertades de los afectados, conforme a lo exigido por el artículo 34 del Reglamento (UE) 2016/679, salvo que resulte de aplicación lo previsto en el artículo 73
  4. s)de esta ley orgánica. (…)” -Asimismo, el Artículo 75 de la LOPDGDD, Interrupción de la prescripción de la infracción, indica: “Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reiniciándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor” Los hechos objeto del presente procedimiento sancionador tuvieron lugar el día 15/03/2021. Consta en el expediente que la primera notificación del acuerdo de inicio del mismo se intentó, mediante correo postal, al tener el destinatario su domicilio en el Reino Unido, el día 24/02/2022, sin que conste su recepción, debido a lo cual en fecha 29/04/2022 se reiteró, siendo recibida, según manifestación de SIEE, el día 11/05/2022. Hay que señalar pues que, a fecha del segundo intento de notificación, la infracción del artículo 34.1 del RGPD estaba ya prescrita, por lo que por parte de esta Agencia no se considera necesario entrar a analizar las alegaciones presentadas, procediendo de oficio al archivo de dicha infracción, manteniendo, no obstante, las infracciones de los artículos 5.1.
  5. f)y 32 del RGPD, respecto de las cuales no ha operado el instituto de la prescripción. III Acceso indebido a datos personales El artículo 5.1.
  6. f)“Principios relativos al tratamiento” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 “1. Los datos personales serán: (…)
  7. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” En el presente caso, consta que los datos personales de los afectados, obrantes en la base de datos de SIEE, fueron indebidamente expuestos a un tercero, puesto que, de las comprobaciones llevadas a cabo por la propia empresa, (…). IV Tipificación de la infracción del artículo 5.1.
  8. f)del RGPD La infracción se tipifica en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  9. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 V Sanción por la infracción del artículo 5.1.
  11. f)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: -El número de interesados afectados, (…). -Negligencia en la infracción, ya que, en el momento de su implantación en 2014, (…) (art. 83.2.
  12. b)Como atenuantes: -La rapidez de reacción del responsable en cuanto tuvo conocimiento de la brecha, ordenando inmediatamente (…) (Art. 83.2.c). -SIEE notificó la brecha a las autoridades de los países de residencia de los clientes afectados, entre ellos España, tan pronto tuvo conocimiento de la misma (Art. 83.2.h). - Igualmente contactó con el cliente (…)(Art. 83.2.k). Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: -La actividad de SIEE implica el manejo de un elevado número de datos personales, dado que se trata de una empresa con una gran cantidad de clientes que realizan compras o devoluciones a través de su web. Ello implica que tienen experiencia suficiente y deberían contar con el adecuado conocimiento para el tratamiento de dichos datos (Art. 76.2.b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  13. f)del RGPD, permite fijar inicialmente una sanción de 100.000 € (CIEN MIL euros). VI Medidas de Seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a)la seudonimización y el cifrado de datos personales; b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el presente caso, en el momento de producirse la brecha, SIEE no contaba con las medidas adecuadas para evitar que se pudiera acceder a los datos personales de los clientes que habían realizado una reclamación, ya que ha quedado acreditado, por su propia declaración efectuada en la notificación de la brecha, (…). VII Tipificación de la infracción del artículo 32 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  15. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. VIII Sanción por la infracción del artículo 32 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que la infracción en cuestión es grave a los efectos del RGPD y que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - El número de interesados afectados, (…) (Art. 83.2.a). -Negligencia en la infracción, ya que, en el momento de su implantación en 2014, (…) (Art. 83.2.b). Como atenuantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 -La rapidez de reacción del responsable en cuanto tuvo conocimiento de la brecha, ordenando inmediatamente (…) (Art. 83.2.c). -SIEE notificó la brecha a las autoridades de los países de residencia de los clientes afectados, entre ellos España, tan pronto tuvo conocimiento de la misma (Art. 83.2.h). - Igualmente contactó con el cliente (…) (Art. 83.2.k). Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: -La actividad de SIEE implica el manejo de un elevado número de datos personales, dado que se trata de una empresa con una gran cantidad de clientes que realizan compras o devoluciones a través de su web. Ello implica que tienen experiencia suficiente y deberían contar con el necesario conocimiento para el tratamiento de dichos datos, así como con las medidas adecuadas para evitar incidentes como el que se sustancia en el presente expediente (Art. 76.2.b). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.3 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 32 del RGPD, permite fijar inicialmente una sanción de 60.000 € (SESENTA MIL euros). A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a SONY INTERACTIVE ENTERTAINMENT EUROPE LIMITED, con NIF 03277793, -por una infracción del artículo 5.1.
  16. f)del RGPD y tipificada en el Artículo 83.5 del RGPD, con una multa de 100.000 € (cien mil euros). - Por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD con una multa de 60.000 € (sesenta mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en en 80.000 euros para la infracción del artículo 5.1.
  17. f)del RGPD y 48.000 euros para la infracción del artículo 32 del RGPD, (128.000 euros en total), y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-050522 A.A.A. INSPECTORA/INSTRUCTORA ANEXO Índice del Expediente PS_00598_2021 29-03-2021 Notificación de Quiebra de Seguridad de Sony Inte 09-04-2021 Nota interior de 13-04-2021 Notificación de Quiebra de Seguridad de Sony Inte 04-05-2021 Notificación de Quiebra de Seguridad de Sony Inte 20-05-2021 Solic. información a Sony Interactive Entertainme 22-06-2021 Contestación requerimiento de SONY INTERACTIVE EN 23-06-2021 Contestación requerimiento de SONY INTERACTIVE EN 24-06-2021 Diligencia 02-11-2021 D SONY 02-11-2021 D IMI 02-11-2021 D SIGRID 05-11-2021 D Playstation 10-11-2021 Inf. actuaciones prevs. 24-02-2022 A. apertura a SONY INTERACTIVE ENTERTAINMENT EURO 29-04-2022 A. apertura a SONY INTERACTIVE ENTERTAINMENT EURO 17-05-2022 Solicitud de ampliación de plazo de SONY INTERACT 18-05-2022 Amp. Plazo a SONY INTERACTIVE ENTERTAINMENT EUROP 23-05-2022 Escrito de SONY INTERACTIVE ENTERTAINMENT EUROPE 25-05-2022 Comunicación a B.B.B. 26-05-2022 Escrito de SONY INTERACTIVE ENTERTAINMENT EUROPE 30-05-2022 Traslado a B.B.B. 02-06-2022 Escrito de SONY INTERACTIVE ENTERTAINMENT EUROPE >> C/ Jorge Juan, 6 28001 – Madrid 1 11 12 21 34 39 128 177 266 289 291 292 293 299 324 351 354 356 358 360 369 372 www.aepd.es sedeagpd.gob.es 13/14 SEGUNDO: En fecha 23 de junio de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 128000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00598/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente ENTERTAINMENT EUROPE LIMITED. resolución a SONY INTERACTIVE De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  18. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-230522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.