1/12 Expediente Nº: EXP202102522 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CORON ISLAND SLU (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 4 de abril de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente nº: EXP202102522 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 25 de agosto de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CORON ISLAND SLU con NIF B67031344 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que tras consumir en un restaurante propiedad de la parte reclamada, solicitó la emisión de una factura a su nombre, solicitándole el encargado el dato de su número de teléfono que, al ser una información no necesaria para la emisión de la factura, se negó a aportarlo, supeditando la parte reclamada su emisión, al hecho de facilitar el dato de su número de teléfono. Y, aporta copia de la factura simplificada emitida y la hoja de reclamaciones donde la parte reclamada manifiesta que pide dicho dato para emitir la factura, al ser un requerimiento de su sistema informático para crear el usuario en su base de datos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 11 de octubre de 2021, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 26 de octubre de 2021. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 25 de noviembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 4 de febrero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba: << que la sociedad está comprometida con la Protección de Datos y tiene establecidos procedimientos para el tratamiento de datos de carácter personal. La sociedad no tiene establecido ningún protocolo, procedimiento o instrucción que implique la solicitud del número de teléfono móvil para la emisión de la factura simplificada. Los encargados de realizar la gestión de emisión de factura simplificada no solicitan el teléfono, ya que en la casilla del CRM consignan un número genérico que está habilitado para ello. Ante la tensa situación el camarero que atendió a la clienta reclamante no supo recordar este número, cuya inserción es obligada para que el programa informático emita la factura, y por ello cometió el error de solicitarle el dato que el programa le reclamaba para poder terminar y entregarle la factura reclamada. Es de suma importancia destacar que esta parte, y concretamente sus trabajadores encargados del tratamiento de datos, cumplen escrupulosamente con el principio de “minimización de datos”, regulado en el Reglamento General de Protección de Datos; es decir, se aplican medidas técnicas y organizativas para garantizar que sean objeto de tratamiento los datos que únicamente sean precisos para cada uno de los fines específicos del tratamiento, concretamente para redactar facturas; reduciendo, la extensión del tratamiento, limitando a lo necesario el plazo de conservación y su accesibilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 En virtud de lo anterior, solo se recaban los datos personales que se vayan a tratar, es decir, los que son estrictamente necesarios para el tratamiento, en este caso la elaboración de facturas. Los datos solo se recogen cuando vayan a ser tratados, por tanto, no se recaban datos para usarlos tiempo después; es más, se recaban únicamente tras expresa petición de los clientes. La información personal de los usuarios o clientes solo se utiliza para la finalidad con la que fue recogida, es decir, para confeccionar la factura solicitada, pero no con ningún otro objetivo. Indicar que la sociedad tiene implantadas herramientas de control exhaustivas para no vulnerar el derecho de los usuarios, y en ningún supuesto se cede información a terceros, garantizándose en todo momento que la recogida y el tratamiento de datos se hace de acuerdo a la normativa y respetando el principio de minimización. Aquí sólo ha acontecido un error humano de alguien que no sabía confeccionar una factura debidamente, pero los datos de la clienta(…). Como se ha indicado con anterioridad, este restaurante tiene implantada una medida que incluye la minimización de datos para la elaboración de facturas, y no existiendo intencionalidad ni mala fe para utilizar esos datos con posterioridad, debe tenerse en consideración la naturaleza, el contexto y el fin del tratamiento del dato en cuestión. En el caso que nos ocupa, sólo ha existido un perjudicado porque en el trato habitual con los clientes no se solicita ese dato debido a que los encargados de la emisión de las facturas ya conocen cómo abrir ficha de cliente sin el número de teléfono. Lógicamente, como ya se ha expuesto no ha existido intencionalidad en absoluto, lo que se prueba, además, con el hecho que el dato personal no ha sido tratado para nada. El hecho fue cometido por un trabajador, que debido a la urgencia y el escándalo organizado sopesó que lo mejor era realizar urgentemente la factura simplificada sin esperar al encargado de dicha realización. A mayor abundamiento el dato personal solicitado (teléfono) tiene la categoría de identificado no especialmente protegido y que no ha sido utilizado o tratado más allá de abrir la ficha a la cliente. En el caso que nos ocupa no ha existido un carácter continuado, ya que ha sido un caso aislado y especial; el dato recabado en nada puede beneficiar a la sociedad ni puede ser útil para la actividad de restauración que realiza la sociedad. Por último, recalcar que fue la tensa situación generada la que provocó los extraordinarios hechos acaecidos y que han terminado siendo objeto de este expediente>>. Asimismo, solicita que se archive el presente expediente y no se sancione a la parte reclamada, o subsidiariamente, que se aplique otras medidas correctivas menos lesiva. SEXTO: Con fecha 23 de febrero de 2022, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas, así como los documentos aportados por la parte reclamada. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 HECHOS PROBADOS PRIMERO: Queda acreditado, que un encargado de la parte reclamada solicitó a la reclamante su número de teléfono para la emisión de la correspondiente factura, al ser una información no necesaria se negó a aportarlo, supeditando la parte reclamada su emisión, al hecho de facilitar el dato de su número de teléfono. SEGUNDO: En la hoja de reclamaciones aportada por la reclamante, se acredita en la manifestación realizada por la parte reclamada que se pide dicho dato para emitir la factura, al ser un requerimiento de su sistema informático para crear el usuario en su base de datos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III En el presente caso, se considera probado que la parte reclamada, tal como lo reconoce en la hoja de reclamación, y en las alegaciones efectuadas al Acuerdo de Inicio solicitó a la parte reclamante su número de teléfono para confeccionar la correspondiente factura. La documentación obrante en el expediente ofrece indicios evidentes de que la parte reclamada vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPDGDD, deber de confidencialidad, materializado en que los datos de carácter personal que son requeridos para emitir la factura son excesivos para los fines propuestos. El Real Decreto 1619/2012, de 30 de noviembre, por el que se aprueba el Reglamento por el que se regulan las obligaciones de facturación (BOE núm, 289, de 1/12/2012), recoge en su artículo 6 el contenido de la factura: <<Toda factura y sus copias contendrán los datos o requisitos que se citan a continuación>>. En dichos requisitos figuran entre otros el nombre y el número de identificación fiscal, pero no así el dato del número de teléfono. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 Por su parte, el artículo 5.1.
- c)del RGPD establece los principios relativos al tratamiento, indicando respecto a esto que: “Los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. También el Considerando 39 señala: “…Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados” De conformidad con el principio de minimización de datos habrán de recogerse los datos que sean adecuados, pertinentes, y limitados, es decir, no excesivos en relación con la finalidad concreta y legítima para la que se hayan obtenido y recabado. Por otra parte, la pertinencia en el tratamiento de los datos de carácter personal impide el tratamiento de aquellos que no sean necesarios a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En su defensa la entidad reclamada alega que no tiene establecido ningún protocolo, procedimiento o instrucción que implique la solicitud del número de teléfono móvil para la emisión de la factura simplificada. Los encargados de realizar la gestión de emisión de factura simplificada no solicitan el teléfono, ya que en la casilla del CRM consignan un número genérico que está habilitado para ello. El camarero que atendió a la clienta reclamante no supo recordar este número, cuya inserción es obligada para que el programa informático emita la factura, y por ello cometió el error de solicitarle el dato que el programa le reclamaba para poder terminar y entregarle la factura reclamada. Pues bien, en el presente caso, el hecho de pedir el dato del número de teléfono de la parte reclamante resulta excesivo al fin para el que estaba destinado. No teniendo base legitimadora para ello. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
- c)del RGPD, donde dispone que los datos personales tratados por el responsable serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. IV La infracción de la que se responsabiliza a la entidad reclamada se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” El artículo 72.1.
- a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular” VI La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83, apartado 2 del RGPD, que señala: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Al fin de concretar la cuantía de la sanción a imponer a la reclamada por vulneración del artículo 83.5
- a)del RGPD, es imprescindible examinar y valorar si concurren las circunstancias descritas en el artículo 83.2 del RGPD de la que se responsabiliza a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 parte reclamada, se estiman concurrentes los siguientes factores agravantes: La evidente vinculación del responsable con el tratamiento de datos (artículo 83.2k, del RGPD en relación con el artículo 76.2b, de la LOPDGDD). Es por lo que se considera procedente graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 2.000 € por la infracción del artículo 5.1.
- c)del RGPD. VII Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
- d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal caso, esta Agencia podrá requerir al responsable para que adecúe los tratamientos de datos personales que realiza a la normativa de protección de datos conforme a lo indicado en los Fundamentos de Derecho precedentes. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a CORON ISLAND SLU, con NIF B67031344, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5
- a)del RGPD, con una multa de 2.000 euros (dos mil euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.600 euros (mil seiscientos euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. B.B.B. INSPECTOR/INSTRUCTOR ANEXO Índice del expediente EXP202102522 25/08/2021 Reclamación de A.A.A. 30/09/2021 Traslado reclamación a CORON ISLAND SLU 11/10/2021 Reiteración a CORON ISLAND SLU 25/11/2021 Comunicación a A.A.A. 07/02/2022 A. apertura a CORON ISLAND SLU 09/02/2022 Info. Reclamante a A.A.A. 22/02/2022 Alegaciones de CORON ISLAND, S.L. 23/02/2022 Notif. p. pruebas a CORON ISLAND SLU >> SEGUNDO: En fecha 9 de abril de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1600 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202102522, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a CORON ISLAND SLU. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 968-240122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es