1/13 Procedimiento nº.: PS/00062/2020 Recurso de reposición N.º RR/00130/2021 Examinado el recurso de reposición interpuesto por PRÉDASE SERVICIOS INTEGRALES S. L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00062/2020, y en base a los siguientes HECHOS PRIMERO: Con fecha 28 de enero de 2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00062/2020, en virtud de la cual se imponía a una sanción de CINCO MIL EUROS (5.000,00 €) , por la vulneración de lo dispuesto en el artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5.
- b)del RGPD y calificada de muy grave en el artículo 72.1.
- h)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDPGDD). Dicha resolución, que fue puesta a disposición del recurrente a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada el día 28 de enero de 2021 y aceptada por aquel en fecha 6 de febrero de 2021, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00062/2020, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: PRÉDASE SERVICIOS INTEGRALES S.L. es una empresa de asesoramiento en diversas materias como prevención de riesgos laborales, protección de datos o seguros que disponía de la página web en internet www.predase.es. SEGUNDO: La web disponía de un apartado de contacto para potenciales interesados en sus servicios, incluyendo en dirección, teléfono, correo electrónico y un formulario de recogida de datos. TERCERO: La página web carecía de política de privacidad y no proporcionaba la información regulada en el artículo 13 del RGPD, como se puso de manifiesto en las actuaciones previas de investigación practicadas. CUARTO: El reclamado manifiesta que el formulario no estaba operativo y que por esa razón se facilitaba la dirección de correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 QUINTO: La web no se encuentra accesible en las comprobaciones efectuadas los días 21, 25 y 29 de septiembre y 5 de octubre de 2020 ya que devuelve un error de acceso por denegación de permiso del servidor (Error 403) y objeto no encontrado (Error 404 adicional). SEXTO: La web continúa no accesible en las comprobaciones efectuadas los días 8 y 12 de enero de 2021, devolviendo el mismo error señalado en el hecho anterior.” TERCERO: PRÉDASE SERVICIOS INTEGRALES S. L. (en lo sucesivo el recurrente) ha presentado en fecha 5 de marzo de 2021, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en: “[…] PRIMERA. - Que la resolución de fecha 28 de enero de 2021 resuelve el expediente sancionador incoado con nº PS/0006/2020, con la imposición una sanción por una infracción del art. 13 del RGPD, tipificada en el art. 83.5 del RGPD, una multa de cinco mil euros [5.000€] a la mercantil Prédase Servicios Integrales S.L, es decir, una sanción tipificada como muy grave. La tipificación de dicha sanción viene de que considera la Agencia que considera que existe las siguientes circunstancias agravantes: - “Intencionalidad o negligencia en la infracción [art. 83.2.a RGPD] ya que se trata de una empresa que presta asesoramiento, entre otros temas en materia de protección de datos, lo que hace exigible una mayor diligencia en el cumplimiento de las obligaciones de la materia respecto a la que se dice asesorar. - El carácter continuado de la infracción [art. 76.2.a LOPDGDD], ya que la reclamación presentada es de fecha 20 de marzo de 2019 y la diligencia de las actuaciones previas de inspección que corrobora el mantenimiento de la situación en la web www. Predase.es se ha llevado a cabo el 7 de febrero de 2020.” Únicamente tiene en cuenta la siguiente circunstancia atenuante: “no consta comisión de ninguna infracción previa en materia de protección de datos por parte del reclamado [art. 83.2.e RGPD].” De la lectura de la Resolución se observa claramente que la misma adolece de error en su decisión, no pudiendo tener en cuenta de cara a la emisión de una decisión definitiva. Debemos concluir que en el caso que nos ocupa dicha motivación es totalmente errónea, por cuanto no se da razón alguna que apoye en el caso concreto el motivo de esta resolución y la imposición de sanción, cuando además resuelve de manera totalmente contraria a lo que ha resultado durante toda la instrucción del expediente y lo alegado por esta parte, donde se recoge en repetidas ocasiones alegaciones y prueba formulada por esta parte que desvirtúan los argumentos de la reclamación inicial y de la resolución de imposición de sanción. SEGUNDA.- Que a los efectos que nos ocupan damos, en aras a la deseable brevedad, por íntegramente reproducidas las alegaciones de hecho y de derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 recogidas en nuestras alegaciones formuladas con anterioridad en el seno de este expediente y la prueba aportada al misma. Podemos decir con total rotundidad que en la resolución impugnada no se ha tenido en cuenta tanto lo alegado por esta parte, ni la prueba aportada. No se ha cometido infracción alguna por parte de Predase Servicios Integrales S.L, sino que la reclamación obedece únicamente a una campaña de descrédito y competencia desleal por parte de la empresa que interpuso la reclamación, competidora directa del sancionado tanto en el mismo ámbito profesional como en el ámbito territorial. No obstante, y en el caso de considerarse que se ha cometido una infracción, la sanción impuesta por la Agencia es del todo DESPROPORCIONADA y no se han valorado todas las circunstancias de manera correcta a fin de ponderar esta gravedad. TERCERO. - Que respecto a la infracción que se imputa a esta parte por infracción del art.13 RGPD relativo a la información que debe facilitarse, por no tener política de privacidad y no proporcionar la información prevista en dicho artículo, dicho argumento no es cierto, y así se ha expuesto a lo largo del expediente. Pues en la web sí aparecía identificado el autor de la misma y su número de identificación, el responsable del tratamiento, ya que en aquel momento el autor operaba como autónomo, de una manera tan visible que incluso buscando la web a través del buscador Google se podían ver estos datos identificativos y así ha sido acreditado en el expediente administrativo. En cuanto al formulario de contacto, como ya se puso de manifiesto, el mismo NO ESTABA EN FUNCIONAMIENTO, POR LO QUE NO RECOGÍA NINGÚN DATOS, pero, es más, nunca lo estuvo desde que se puso en funcionamiento el sitio web. Al escribir cualquier dato sobre el mismo, este no era recogido, ni aceptado ni almacenado, ni dirigido a ningún sitio, habiéndose aportado prueba al respecto y por ello únicamente redirigía a la página principal de la web. Motivo por el que, al lado del formulario, se indicaba un correo electrónico a fin de que quien accediera a la página web y quisiera contactar debía hacerlo a través del email, donde se les remitiría contestación a través del correo de la entidad donde aparece incorporada la cláusula de protección de datos ajustada al RGPD. Estas circunstancias, que ya se expusieron en su día a lo largo de la tramitación del procedimiento sancionador, no han sido valoradas en la Resolución de 28 de enero de 2021. CUARTO.- Que en cuanto a las circunstancias agravantes y atenuantes que se han tenido en cuenta para la imposición de la sanción, debemos señalar que el art. 83.2 RGPD, prevé dichas circunstancias a fin de imponer la sanción correspondiente y establecer la cuantía de la misma. Estas son: […]
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 […]
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción; […]” La Resolución impugnada adolece de error en su motivación a fin de establecer la sanción, pues existen circunstancias que atenúan la responsabilidad en la infracción cometida y que no han sido en absoluto valoradas a la hora de imponer la sanción. Pues en la resolución impugnada no se valora la conducta del responsable en cuanto a su colaboración con la Agencia y lo realizado para poder paliar o aminorar los daños ocasionados por la infracción. Pues en fecha 17 de marzo de 2020 se acuerda iniciar el procedimiento sancionador, pero no es hasta junio de 2020 cuando se le notifica a esta parte, y ya desde dicha fecha el responsable DEJA INOPERATIVA LA WEB, y ello con el único fin de evitar que los usuarios continuaran accediendo a ella para que, en el caso de que se determinara la existencia de una omisión o infracción, esta no continuara afectando a más usuarios, a fin de aminorar los efectos de la posible infracción u omisión. Por ello además no podemos hablar de carácter continuado en la infracción, pues la demora en las acciones del responsable no fue intencionada, cuando tuvo constancia de lo ocurrido actuó. Con ello podemos determinar que el responsable ha tenido una conducta activa en cuanto a evitar el número de afectados en cuanto tuvo constancia de los hechos. Si transcurrió más de un año desde que se interpone la reclamación hasta que Prédase inhabilita la web, se debe únicamente a que transcurrió casi un año y medio hasta que se le comunica el inicio del procedimiento. Habiéndose mostrado el responsable en todo momento colaborativo con la Agencia en todo lo actuado. Ello ha quedado acreditado a lo largo del expediente y lo recoge la Agencia en su propia Resolución de 28 de enero de 2021, cuando cita que los días 21, 25 y 29 de septiembre no puede acceder al sitio web, que permanece inhabilitado. Tampoco se han tenido en cuenta ni se han valorado la naturaleza de los datos que pudiera recoger el sitio web, ni tampoco se encuentra ninguna referencia a las cookies que operaban en la misma. Pues debe valorarse también con carácter atenuante de la responsabilidad el hecho de que no se recogía ningún dato sensible, es más, como ya se ha mencionado, el formulario de contacto se encontraba inoperativo, por lo que no recogía ningún tipo de dato. Por lo que el daño ocasionado a los usuarios como consecuencia de la posible infracción es mínimo, circunstancia de relevancia que entendemos debió tener en cuenta la Agencia a fin de imponer la sanción. Así pues, dado que existen hasta tres circunstancias atenuantes que no han sido valoradas en la Resolución impugnada, que suponen cuatro con la que si consta en dicha resolución, entendemos que, en el caso de que continúe se resuelva el presente recurso con la imposición de sanción, no cabe más que aminorar la cuantía de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 misma, resultando la cantidad de 5000 euros impuesta a todas DESPROPORCIONADA con la conducta infringida y el daño ocasionado. luces QUINTO.- VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD. Artículo 29 de la Ley 40/2019, de 1 de octubre, de Régimen Jurídico de Sector Público, que dispone “En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada”. Se ha impuesto una sanción más gravosa y que no es proporcionada a los hechos que se imputan. La resolución es nula ya desde el inicio se decidió imponer la sanción muy grave, a pesar de que existen elementos, expuestos en párrafos anteriores, que permiten, cuanto menos aminorar la cuantía No se olvide que, este principio de proporcionalidad de tenerse en cuenta en el momento de tipificar una concreta actuación como infracción administrativa y establecer las sanciones posibles, y en consecuencia, debe respetarse por el poder legislativo, pero además, también debe tenerse en cuenta en el momento de fijar la sanción que dentro de las previstas en la Ley, corresponde en ese caso concreto. Por todo ello no cabe más que dejar sin efecto la sanción impuesta acordando la nulidad de la Resolución de 28 de enero de 2021. De no considerarse, dado que la sanción impuesta se ha acreditado que resulta desproporcionada, deberá aminorarse hasta los 1.000,00 euros. […]” FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II En relación con las alegaciones efectuadas por el recurrente, corresponde realizar las siguientes consideraciones respecto a cada una de ellas, siguiendo el orden en que han sido presentadas en el recurso. PRIMERA. Por lo que se refiere a la falta de motivación de la resolución y la imposición de la sanción, es preciso señalar en primer lugar que la calificación de la sanción como muy grave no proviene de la consideración de ciertas circunstancias agravantes. Como se señala en el Fundamento Jurídico II de la resolución, la tipificación de la infracción imputada —artículo 13 del RGPD— viene recogida en el artículo 83.5 del RGPD que dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: […]
- b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” Y en el mismo Fundamento Jurídico se señala que: “A efectos del plazo de prescripción de la infracción, el artículo 72.1 de la LOPDGDD establece: En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel, y, en particular, las siguientes: […]
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679. […]”. Huelga recordar en este punto, tal y como se puso de manifiesto varias veces a lo largo de la tramitación del procedimiento sancionador, que a pesar del contenido de la reclamación que originó éste, fue la vulneración del artículo 13 del RGPD la única infracción que se imputó en el acuerdo de inicio, por la que se ha instruido el expediente, y por la que se sanciono en la resolución de 28 de enero de 2021. La motivación de la declaración de infracción al caso concreto y de la imposición de la sanción puede comprobarse en los siguientes Fundamentos Jurídicos de la resolución, aunque en este punto se adelanta que un nuevo análisis jurídico aplicable al supuesto concreto lleva a la conclusión que no es posible acreditar la existencia de infracción, lo que se pondrá de manifiesto al valorar la alegación tercera de este recurso. En segundo lugar, se indica que, a pesar de lo manifestado en el recurso, el recurrente únicamente hizo mención, tanto en su escrito de alegaciones al acuerdo de inicio, presentado el 25 de junio de 2020, como en el escrito de alegaciones a la propuesta de resolución, presentado el 13 de noviembre de 2020, a la aportación de un documento —que por cierto, no adjuntó—(…), que no se refería a la infracción imputada, sino que respondía a la finalidad de desvirtuar un posible incumplimiento del artículo 10 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSI) a que el reclamante había hecho referencia y que se refiere a la obligación que tienen los prestadores de servicios de la sociedad de la información de facilitar cierta información general, cuestión ajena tanto al ámbito material de la normativa de protección de datos como al ámbito competencial de la Agencia de Protección de Datos (…). De igual manera son ajenas al ámbito competencial de este organismo —aun cuando su regulación sí venga establecida en la disposición adicional 16 ª de la LOPDGDD— las cuestiones relativas a las prácticas agresivas en materia de protección de datos (tal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 y como se reflejó en el acuerdo de inicio y en la resolución del procedimiento sancionador) SEGUNDA. Por lo que se refiere a la consideración de las alegaciones presentadas por el recurrente en el seno del expediente su valoración respecto a la infracción imputada se reflejó tanto en la propuesta de la resolución como en la resolución del expediente. Asimismo, tanto en la propuesta de resolución como en la resolución se hizo mención expresa a que no se habian tomado en cuenta el resto de las alegaciones por cuanto no versaban sobre el objeto del procedimiento sancionador. No obstante a lo anterior, por lo que se refiere al análisis jurídico, se efectúa una remisión a lo manifestado en referencia a la alegación tercera que se desarrolla a continuación. TERCERA. Por lo que se refiere a la ausencia de política de privacidad en la web www.predase.es, se obtuvieron evidencias en diferentes actuaciones a las que se hace referencia en el procedimiento sancionador (diligencia preliminar de contenido de la página web llevada a cabo el 23 de abril de 2019 en la fase de admisión de la reclamación y diligencia de contenido de fecha 7 de febrero de 2020 realizada en el seno de las actuaciones previas de inspección). Se significa que el deber de información responde al principio de licitud, lealtad y transparencia con que el responsable debe llevar a cabo los tratamientos de datos personales. En este sentido, el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz materialización, y el articulo 13 concreta qué información debe facilitarse cuando los datos se obtengan del interesado. Teniendo en cuenta los preceptos aludidos del RGPD, así como los Considerandos 39 y 60, la información debe proporcionarse en el momento en que se obtienen los datos de una manera clara y accesible para el interesado y debe abarcar todos los aspectos del artículo 13 que sean pertinentes en relación con el tratamiento de datos que se lleva a cabo. En este sentido, el artículo 11 de la LOPDGDD establece la posibilidad de proporcionar la información por el sistema de capas y señala claramente, qué información básica ha de mostrarse al menos en la primera de las mencionadas capas y la necesidad de indicar un medio que permita un acceso sencillo e inmediato a la restante información. En relación con lo anterior y respecto a la manifestación realizada de que el formulario no se encontraba en funcionamiento, en ningún momento el recurrente aportó prueba al respecto (al contrario de lo que sostiene en el recurso), limitándose a efectuar una aseveración tanto en el escrito de alegaciones al acuerdo de inicio del procedimiento sancionador como en el escrito de alegaciones a la propuesta de resolución. Esta aseveración no pudo ser comprobada durante la instrucción del expediente por cuanto la página no se encontraba accesible en el momento de realizar las pertinentes comprobaciones, tal y como se ha dejado constancia en el expediente. En este sentido, al no haberse recogido evidencias respecto a su operatividad o falta de ella tanto en la fase de actuaciones previas de investigación como en la instrucción del expediente, los documentos de la propuesta de resolución y la resolución, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 aplicación del principio de presunción de inocencia, asumieron que esta aseveración era correcta. Partiendo de lo anterior y teniendo en cuenta que en la página web se habilitaban otros medios de contacto (y particularmente por lo que hace referencia al correo electrónico, respecto al que el propio recurrente manifestaba que suplía al formulario por cuanto aquel no funcionaba) una interpretación rigurosa del deber de información como manifestación del principio de transparencia consideró que esto no obstaba para que el responsable no estuviera obligado a cumplir con el deber de información establecido en el artículo 12 y concretado en el artículo 13 por cuanto se dichos medios eran susceptibles de recoger datos de los interesados. La finalidad de que esta interpretación era asegurar la posibilidad de proporcionar al interesado, en el momento de proporcionar sus datos, información acerca de las circunstancias y actores que intervienen en el tratamiento, las consecuencias que este conlleva y los derechos que le asisten. Ahora bien, teniendo en cuenta que el tenor literal del artículo 13 (y del Considerando 61) señala que el deber de información debe cumplirse “en el momento en que los datos se obtengan del interesado”, puede tener cabida una interpretación jurídica flexible que considere que, cuando sean los interesados quienes se dirijan por propia iniciativa a un responsable a través de un medio como el correo electrónico, el cumplimiento de la obligación de proporcionar la información al interesado acerca de las condiciones en que se desarrollará el tratamiento podrá llevarse a cabo en el mismo momento en que el responsable obtiene los datos de los interesados (es decir, sin dilación), vía correo de respuesta. Por tanto, aun cuando en ninguno de los escritos de contestación al acuerdo de inicio y a la propuesta de resolución el recurrente formuló la alegación de que una vez que un potencial cliente se pone en contacto con la entidad a través del correo electrónico, esta incorpora en su contestación la cláusula de protección de datos adaptada al RGPD, ni se ha aportado la mencionada cláusula, no es posible acreditar por esta Agencia que no se proporcionara esta información, por lo respecto a este extremo debe ser aplicado nuevamente la presunción de inocencia. Como corolario de lo anterior, no puede determinarse, por tanto, la comisión de una infracción del artículo 13 del RGPD y por lo tanto procederá a dejar sin efecto la sanción dictada en la resolución de 28 de enero de 2021. Por último, como precisión final a este punto se significa que, en el supuesto de que el responsable pretenda incluir un formulario operativo de recogida de datos personales en la página web —y por lo tanto esté obligado a proporcionar la información del artículo 13 en la propia web—, no serviría como supuesta acreditación del cumplimiento del deber de información del artículo 13 del RGPD, la alegada pretensión de que es posible conocer al autor de la web por varios motivos: En primer lugar porque el término “autor” de una web no implica necesariamente una posición jurídica como es la de titular de la página web o responsable de un tratamiento de datos; en segundo lugar porque, aun asumiendo hipotéticamente que en este caso concreto el autor de la web se correspondía con el responsable del tratamiento de datos, la identificación de este último es solo uno de los extremos respecto a los que debe informarse a los interesados y además deviene necesario que toda la información que se debe proporcionar en cumplimiento del deber de información conste de manera clara y accesible a los interesados, sin que sea válido pretender que estos realicen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 una búsqueda de ninguno de los referidos extremos a través de la web, y ni mucho menos a través de sus metadatos; y en tercer lugar, porque tal y como consta en el informe de actuaciones previas de inspección, tras las actuaciones llevadas a cabo y tras la consulta realizada al Registro Mercantil Central, se determina que PRÉDASE SERVICIOS INTEGRALES S.L. es la responsable del sitio web. La información, por tanto, incluso respecto a ese único extremo (y como se ha dicho, aun asumiendo hipotéticamente su equivalencia con la figura del responsable del tratamiento de datos) habría quedado desactualizada a partir de un cierto momento. CUARTA. En esta alegación, el recurrente realiza una serie de consideraciones acerca de las circunstancias del artículo 83.2 del RGPD que a su juicio deberían haberse tenido en cuenta a la hora de graduar la sanción a imponer. A este respecto, una vez que debido a la no posibilidad de determinar la existencia de infracción, la sanción queda anulada, la valoración de estas alegaciones no conllevará consecuencia jurídica alguna. No obstante, se considera procedente realizar las siguientes precisiones : Respecto a la decisión de dejar inoperativa la web, en junio de 2020, con el fin de que la posible infracción no continuara afectando a más usuarios, resulta llamativo que ni en las alegaciones al acuerdo de inicio ni en las alegaciones a la propuesta de resolución el recurrente alegara dicho extremo. De hecho, en las alegaciones presentadas al acuerdo de inicio el 25 de junio de 2020, señalan que se puede comprobar que el formulario de recogida de datos está activo, sin hacer referencia a que se ha dejado inoperativa la web, y en las alegaciones presentadas a la propuesta de resolución, tras haber señalado la imposibilidad de realizar comprobaciones los días 21, 25 y 29 de septiembre y 5 de octubre de 2020, el recurrente únicamente manifiesta que está actualizando la web de manera conjunta con la empresa informática a fin de subsanar el mínimo error, continuando no accesible la página web en las comprobaciones realizadas los días 8 y 12 de enero de 2021. Ahora bien, aun cuando esta Agencia puede mantener alguna reserva en cuanto a la intencionalidad del recurrente acerca de la inoperatividad de la web que impidió realizar las comprobaciones oportunas y respecto de la que no se informó, no lo es menos que objetivamente dicha inoperatividad tuvo como efecto colateral impedir que se siguiera incumpliendo el deber de información, limitando así la extensión del perjuicio a nuevos usuarios. Por lo tanto, en el supuesto de que se hubiera mantenido la imposición de sanción, se hubiera considerado adecuado valorar la aplicación de esta la circunstancia del artículo 83.2.
- c)(“cualquier medida tomada por el reclamante o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados”) respecto a la graduación de la sanción a imponer. Relacionada con la circunstancia anterior se encontraría la pretensión del recurrente de que se apreciara como atenuante la circunstancia recogida en el artículo 83.2.
- f)del RGPD (“el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”). Esta pretensión no hubiera podido admitirse en el supuesto de que se hubiera declarado subsistente la imposición de sanción, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 toda vez que el recurrente únicamente se limitó a ejercer su derecho reconocido constitucionalmente a presentar alegaciones en el seno del procedimiento y que, como se ha señalado anteriormente, no mencionó ni puso en conocimiento de esta Agencia la inoperatividad intencional de la web con la finalidad mencionada en este recurso. El recurrente considera no ajustada a derecho la aplicación del carácter continuado de la infracción como agravante a tener en cuenta en la imposición de la sanción. En el supuesto de haber mantenido la existencia infracción y su subsiguiente imposición de sanción, esta manifestación no hubiera podido acogerse ya que el incumplimiento del deber de información constituye per se la omisión de una actuación de deber hacer que se mantiene en el tiempo tanto como dura la omisión de ese deber hacer. El hecho de que el recurrente no tuviera noticias hasta el 5 junio del año 2020 del acuerdo de inicio adoptado mediante resolución de fecha 17 de marzo de 2020 (el registro de la notificación no pudo realizarse hasta el 1 de junio debido a la suspensión de los plazos administrativos declarada por el Real Decreto 463/2020, de 14 de marzo) no hubiera desvirtuado la naturaleza de la infracción como continuada. En virtud de la responsabilidad proactiva establecida en el artículo 5.2 del RGPD, el responsable del tratamiento es el responsable de que los tratamientos de datos que caen bajo su esfera cumplan con los principios consagrados por el citado RGPD y además deberá ser capaz de demostrarlo. En cuanto a la aplicación de la circunstancia plasmada en el artículo 83.2.
- g)(“las categorías de datos de carácter personal afectados por la infracción”) como atenuante debido a que la tipología de datos no incluiría datos sensibles, se señala que el deber de información que se reclamó al responsable en este procedimiento era el que tenía que ver con la recogida de datos de potenciales clientes, datos que, por el propio fin de ese tratamiento, deben ser los imprescindibles y necesarios so pena de vulnerar otro de los principios vertebradores del RGPD cual es el principio de minimización de datos establecido en el artículo 5.1.c). La aplicación del juicio de proporcionalidad a los datos a recoger revela que estos datos únicamente podrían pertenecer a las categorías de identificación y de contacto (y solo los necesarios) Por lo tanto, por aplicación de las reglas de la lógica, en el supuesto de que hubiera subsistido la infracción, no hubiera podido pretenderse que se considerara como atenuante el hecho de recoger datos pertenecientes a las únicas categorías a las que, si se sigue una aplicación correcta del principio de minimización de datos, podrían pertenecer. Por lo que se refiere a la manifestación de que la resolución recurrida no hacía referencia a las cookies que operaban en la misma, debe reiterarse lo ya mencionado anteriormente, que el procedimiento sancionador versaba sobre la infracción imputada del artículo 13. La materia de cookies, en relación con los datos que obtienen de los usuarios se regula por el artículo 22 de la LSSI, que incorpora al ordenamiento español la Directiva 2000/31/CE y parcialmente la Directiva 98/27/CE, y las competencias que al respecto atribuye la citada norma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 a la Agencia Española de Protección de Datos se sustanciarían en un procedimiento con fundamentación en la mencionada LSSI. QUINTA. Por último, en relación con la alegada vulneración del principio de proporcionalidad, esta Agencia, en el supuesto en que se hubiera mantenido la comisión de la infracción y la subsiguiente imposición de sanción, no se considera que la resolución recurrida adoleciera de ella. En la resolución referenciada se establecía claramente la tipificación de la infracción cometida en el artículo 83.5 del RGPD, que a su vez establece cuál es el límite máximo de la posible sanción a imponer y se indica cuál es su calificación por parte de la LOPDGDD. Teniendo en cuenta este marco de actuación y la concurrencia de, por un lado, las circunstancias agravantes contenidas en el artículo 83.2.
- b)del RGPD (“intencionalidad y negligencia en la infracción”), que por un error material quedó referenciada como letra a), y 76.2.
- a)de la LOPDGDD (“carácter continuado de la infracción”) y, por otro lado, las circunstancias atenuantes del artículo 83.2.
- e)del RGPD (“no consta comisión de ninguna infracción previa en materia de protección de datos por parte del reclamado”) y el tamaño de la empresa (“Se trata de una micropyme a efectos de lo dispuesto en la Recomendación de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas”) —circunstancias todas ellas justificadas en la resolución—, se considera que la sanción que hubiera recaído en el supuesto de determinación de existencia de infracción, era proporcionada. III El principio del derecho a la presunción de inocencia, reconocido como derecho subjetivo fundamental en el artículo 24 de la Constitución Española, impide imponer una sanción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor y aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. El derecho mencionado a la presunción de inocencia se recoge asimismo de manera expresa en el artículo 53.2.
- b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), que establece que: “2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: […]
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 las propias posiciones. En este sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” IV Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por PRÉDASE SERVICIOS INTEGRALES S. L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de enero de 2021, en el procedimiento sancionador PS/00062/2020, indicando al sancionado que queda sin efecto la obligación de abonar la multa impuesta en la resolución recurrida. SEGUNDO: NOTIFICAR la presente resolución a la entidad PRÉDASE SERVICIOS INTEGRALES S. L.. y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 91-100519 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es