1/12 Expediente N.º: EXP202200347 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 10 de diciembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Dña. B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que, con fecha 17 de noviembre de 2020, suscribe un contrato de arrendamiento de habitación con la parte reclamada, siendo realizado el pago en metálico del alquiler hasta agosto del año 2021 y a partir del siguiente mes se hace por transferencia ordenada por la reclamante a la reclamada. Así las cosas, señala la parte reclamante que el día 4 de enero de 2021 formalizó contrato de trabajo con la entidad (...), de la cual es presidenta la parte reclamada. Pues bien, en fecha 6 de diciembre de 2021, Administración (…) (la parte reclamada) crea la referencia de domiciliación ***REFERENCIA.1, con número de contrato ***CONTRATO.1. Ese mismo día procede al cargo del recibo por un importe de (…) €. En fecha 7 de diciembre de 2021, se puso en contacto con su entidad bancaría y solicitó la devolución del recibo. Añade que (...) facilitó dicho dato, dado que lo había proporcionado la reclamante a la anterior para el cobro de sus nóminas. Y, aporta la siguiente documentación relevante: Contrato de arrendamiento de la habitación. Contrato de trabajo. Recibos del pago del alquiler en metálico. Justificantes del pago del alquiler mediate transferencia bancaria. Recibo domiciliado el pago del alquiler. Comunicado a su entidad bancaría, informándoles que no autoriza domiciliaciones por firma de orden genérica. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 finalidad señalada en el referido artículo, se dio traslado de la reclamación a la parte reclamada para que procediera a su análisis y diera respuesta en el plazo de un mes, lo que se ha verificado mediante escrito de fecha de entrada en esta Agencia de 22 de febrero de 2022. TERCERO: En fecha 10 de marzo de 2022 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando la no admisión a trámite de la reclamación. La resolución fue notificada a la parte recurrente, en fecha 10 de marzo de 2022, según consta acreditado en el expediente. CUARTO: En fecha 14 de marzo de 2022 la parte reclamante interpone recurso potestativo de reposición, contra la resolución recaída, en el que muestra su disconformidad con la resolución impugnada, argumentando que nunca había autorizado a la parte reclamada el uso de su cuenta bancaria para la domiciliación del recibo del alquiler, y que esta no había acreditado este consentimiento ni era capaz de hacerlo. QUINTO: En fecha 17 de noviembre de 2022 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se ha verificado mediante escrito de respuesta de fecha 7 de diciembre de 2022, en que la parte reclamada manifiesta <<que las carpetas como inquilina, y como trabajadora desaparecieron, por lo que perdió toda la documentación relacionada con ella>> SEXTO: Con fecha, 10 de diciembre de 2021, se acuerda por la Directora de la Agencia Española de Protección de Datos estimar el recurso de reposición interpuesto por la parte reclamante contra la resolución de esta Agencia dictada en fecha 10 de marzo de 2022, y, admitir a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SÉPTIMO: Con fecha 13 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- b)del RGPD, tipificada en el Artículo 83.5 del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba: <<que a mediados del año 2021 desapareció de la oficina en la que la fundación tiene su sede, todo el expediente referido a la reclamante, hecho que fue debidamente denunciado ante la jurisdicción penal pero que, desgraciadamente y ante la falta de pruebas, concluyó con una sentencia absolutoria contra la reclamante, única persona que había tenido móvil, ocasión e interés en hacerla desaparecer, según he explicado anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 Se acompañan, como documentos nº UNO y DOS, copia de dicha denuncia y la sentencia correspondiente. Posteriormente, la reclamante grabó sucesivas conversaciones que mantuve con ella con el fin de justificar una temeraria demanda ante la jurisdicción laboral sobre despido objetivo individual nulo e indemnización adicional de (…)€, y que, de momento, se ha saldado con una sentencia -que ha sido recurrida por la reclamanteque me condena a abonarle la suma de (...)€, muy alejada de su hiperbólica petición inicial. Se acompaña dicha sentencia como documento nº TRES Sin embargo y a pesar de todos los esfuerzos de la reclamante para justificar su actual pretensión, cuento con el testimonio de D. C.C.C., con DNI nº ***NIF.2, y Dª. D.D.D., con DNI nº ***NIF.3; los cuales estaban presentes cuando la reclamante me facilitó los datos de su cuenta y me autorizó a cargar contra la misma los recibos devengados por el alquiler de su habitación>>. NOVENO: Con fecha 1 de marzo de 2023, el instructor del procedimiento acordó practicar las siguientes pruebas: <<1.Se dan por reproducidos a efectos probatorios la reclamación interpuesta por Dña. A.A.A. y su documentación. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por Dña. B.B.B., y la documentación que a ellas acompaña>>. DÉCIMO: Con fecha 30 de marzo de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a Dña. B.B.B., con NIF ***NIF.1, por una infracción del Artículo 5.1.
- b)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de por un importe de 5.000 euros (cinco mil euros). Notificada la propuesta de resolución, la parte reclamada no ha formulado alegaciones a la misma. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – El 17 de noviembre de 2020, la reclamante suscribe un contrato de arrendamiento de habitación con la parte reclamada, siendo realizado el pago en metálico del alquiler hasta agosto del año 2021 y a partir del siguiente mes se hace por transferencia ordenada por la reclamante a la reclamada. SEGUNDO. – Con fecha 4 de enero de 2021, la reclamante formalizó contrato de trabajo con la entidad (...), de la cual es presidenta la parte reclamada. TERCERO. – La parte reclamada, creó una domiciliación bancaria para el pago del alquiler de la reclamante, haciendo uso del número la cuenta bancaria que les C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 constaba en el contrato de trabajo suscrito con la (...), y el 6 de diciembre de 2021 crea la referencia de domiciliación ***REFERENCIA.1, con número de contrato ***CONTRATO.1, por un importe de (…) €. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: <<los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos>>. II Obligación incumplida El artículo 6.1 del RGPD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por otra parte, el artículo 6.4 del RGPD, a su vez, dispone: “Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. Y el considerando 50 del citado RGPD, señala: “(…) Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la recogida inicial de los datos personales, el responsable del tratamiento, tras haber cumplido todos los requisitos para la licitud del tratamiento original, debe tener en cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en particular las expectativas razonables del interesado basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los interesados del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista. (…)” Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” En relación con los principios regulados en el citado artículo 5 del RGPD se tiene en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 cuenta lo señalado en el Considerando 39 del citado RGPD: “39. Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. III Tipificación y calificación de la infracción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 IV Alegaciones En respuesta a las alegaciones presentadas por la parte reclamada se debe señalar lo siguiente: En relación con las declaraciones testificales aportadas por la parte reclamada de D. C.C.C., con DNI nº ***NIF.2, y Dª. D.D.D., con DNI nº ***NIF.3, colaboradores voluntarios de la (...) y de Administración de Fincas (...), en dichas declaraciones se explica que fueron testigos en que la parte reclamante autorizaba la domiciliación de los recibos devengados por el alquiler de la habitación. Pues bien, sobre el valor probatorio de la prueba testifical puede citarse la SAN de 14 de marzo de 2013 (Rec.394/20111) que examinó la declaración testifical aportada por uno de los reclamantes y declaró que “nos encontramos en el ámbito administrativo sancionador y en materia de protección de datos, por lo que es a este específico ámbito al que debe circunscribirse nuestro análisis, siendo lo relevante a efectos del presente procedimiento dilucidar si ha quedado acreditado que la entidad recurrente ha facilitado a terceras personas datos personales de sus clientes y especialmente, sobre deudas de la entidad”. (El subrayado es de la Agencia) La Sentencia entra a valorar las pruebas que la resolución impugnada había tomado en consideración en orden a acreditar la infracción de deber de secreto. Así, uno de los reclamantes había “aportado la declaración de su hermano, en la que éste manifiesta que ha recibido llamadas de (…) en su domicilio en las que le comunicaron que su hermano tenía una deuda con dicha entidad”, y esta prueba se consideró por la Agencia suficiente para entender probada la existencia de una infracción del deber de secreto, sin embargo la Audiencia Nacional llega a la conclusión opuesta y dice que “la citada declaración aportada por el denunciante 5 carece de consistencia para desvirtuar la presunción de inocencia que ampara a (…) y acreditar la infracción del deber de secreto imputada”. La argumentación que ofrece la Sala de la Audiencia Nacional para desvirtuar la fuerza probatoria atribuida a la declaración jurada del hermano del reclamante fue “que se trata de una declaración muy genérica e imprecisa. Así, por ejemplo, no consta en dicha declaración cuál era el número de teléfono del domicilio particular al que dice el declarante que le llamaban, por lo que no se puede contrastar si figura en el bloc de notas de (…), en el que no consta anotación de contacto con hermano. Tampoco se precisa en la citada declaración, las fechas en las que se recibían las llamadas, manifestando que le llamaban “hace ya tiempo, meses”. En el asunto que nos ocupa se ha de concluir que las declaraciones aportadas como prueba de la existencia de consentimiento no tienen la virtualidad necesaria para acreditar la existencia de un consentimiento válidamente dado, en los términos recogidos en el artículo 4.11 del RGPD, es decir que se tratara de un consentimiento libre, inequívoco, específico e informado, sobre todo si se tiene en cuenta el desequilibrio de poder existente en las relaciones laborales existentes entre empleados y empleador. En el presente caso, resulta acreditado que la parte reclamada utilizó el número de la cuenta bancaria facilitado por la reclamante cuando formalizó el contrato de trabajo el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 día 4 de enero de 2021 con la entidad (...), de la que es presidenta la parte reclamada, para domiciliar el cobro del contrato de arrendamiento de una habitación suscrito el 17 de noviembre de 2020, entre ambas partes. Pues bien, la parte reclamada utiliza dicho dato con una finalidad distinta para la que fue dado dicho dato, que no es otro que el cobro del salario por parte de la reclamante. Estos hechos se acreditan al aportar la reclamante el documento que entregó a (...) para el ingreso de las nóminas de su salario, que como trabajadora de la (...) percibía. Y, por otra parte, la parte reclamada ha hecho uso del número la cuenta bancaria cedido por (...), para crear una domiciliación bancaria sin que exista causa legitima para ello. Por lo tanto, existen indicios de un tratamiento de datos personales de la parte reclamante incompatible con las finalidades que determinaron la recogida de tales datos. En definitiva, la parte reclamada no ha justificado la compatibilidad de los fines ni que cuente con el consentimiento de la reclamante para tratar los datos con esa nueva finalidad. Por lo tanto, se imputa a la parte reclamada la comisión de una infracción por vulneración del artículo 5.1.
- b)del RGPD, que regula el principio de limitación de la finalidad, estableciendo que los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines, así mismo se establece también la responsabilidad proactiva del responsable del tratamiento de demostrar su cumplimiento. En definitiva, los datos personales de la parte reclamante se recogieron para cumplir determinados fines derivados de la relación laboral que mantenía con la (...), que a su vez es una persona jurídica distinta a la parte reclamada, que ostenta la condición de persona física, produciéndose un uso incompatible con los fines inicialmente autorizados. Asimismo, el artículo 7 del RGPD, relativo a las "Condiciones para el consentimiento" establece en su apartado 1 que: “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. De igual manera, la jurisprudencia aplicable ha señalado de forma reiterada que cuando el titular de los datos niega el consentimiento en el tratamiento de sus datos, corresponde la carga de la prueba a quien afirma su existencia, debiendo el responsable del tratamiento recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Sirva por todas la Sentencia de la Audiencia Nacional de 31 de mayo de 2006 (Rec. 539/2004): “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001 ) a quien corresponde asegurarse de que aquel a quien se solicita C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley.” En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración de lo dispuesto en el artículo 5.1.
- b)del RGPD. V Sanción La sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción tipificada en el artículo 83.5.
- a)del RGPD y 72.1
- b)de la LOPDGDD, se estiman concurrentes en el presente caso los siguientes factores: Como agravantes los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Artículo 83.2.
- b)del RGPD: “
- b)la intencionalidad o negligencia en la infracción". La negligencia apreciada en la comisión de la infracción, considerando que la parte reclamada utilizó los datos personales de la parte reclamante registrados en la (...) en su condición de trabajadora, sin tener en cuenta que intervenía en los hechos como arrendataria. Se considera, asimismo, que concurre como atenuante la circunstancia siguiente: Artículo 83.2.
- a)del RGPD: “
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. La infracción es una anomalía que afecta únicamente a la parte reclamante. Considerando los factores expuestos, la valoración inicial que alcanza la multa por la infracción imputada es de 5.000 euros (cinco mil euros) infracción muy grave (vulneración del artículos 5.1.
- b)del RGPD). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Dña. B.B.B., con NIF ***NIF.1, por una infracción del Artículo 5.1.
- b)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de por un importe de 5.000 euros (cinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a Dña. B.B.B.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es