← España

REPOSICION-PS-00183-2022

1/13  Procedimiento nº.: PS/00183/2022 Recurso de reposición Nº RR/00632/2022 Examinado el recurso de reposición interpuesto por CAIXABANK S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00183/2022, y en base a los siguientes HECHO PRIMERO: Con fecha 9 de septiembre de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00183/2022, en virtud de la cual se imponía a una sanción de 25.000 euros, por la vulneración de lo dispuesto en el artículo 16 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5 del RGPD y calificada de muy grave en el artículo 72.1k) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Dicha resolución, que fue notificada al recurrente en fecha 13 de septiembre de 2022, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00183/2022, quedó constancia de los siguientes: procedimiento sancionador, 1. El reclamante, cliente de la reclamada, manifiesta que el 8 de octubre de 2017 actualizó sus datos de domicilio a través de su acceso online, pero en el año 2020 comprueba que existen documentos en los que consta su antigua dirección ***DIRECCIÓN.1 2. Según manifiesta el reclamado solicitó rectificación de su dirección postal el 10 de julio y el 28 de septiembre de 2020 a través de su espacio Mi Gestor de Caixabank.es, sin respuesta por la parte de la reclamada. 3. En fecha 14 de octubre de 2020, con número de registro 8-724587XXXX solicitó rectificación de su dirección postal a través de servicio.cliente@caixabank.com. Con fecha 30 de octubre de 2020, la parte reclamada solicitó información adicional al reclamante para poder realizar la gestión oportuna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 4. El 6 de noviembre de 2020 el reclamante recibe respuesta con número de referencia reclamación 8-726689XXXX, en la cual le informan de que remitirán su petición al departamento especializado correspondiente. A fecha de 8 de febrero de 2021, el reclamante manifiesta que su dirección todavía no se ha rectificado. 5. La parte reclamada, proporciona una captura de pantalla de CaixabankNow donde consta un recibo de un préstamo a nombre del reclamante con número de préstamo ***CONTRATO.1, fechado a 31 de enero 2021 y dirigido a su antigua dirección postal en ***DIRECCIÓN.1 6. Consta con fecha 31 de enero de 2021 la dirección ***DIRECCIÓN.1 asociada al contrato ***CONTRATO.1, contrato que, en las evidencias aportadas por la reclamada a fecha 13/10/2021, está asociado a la dirección ***DIRECCION.2. 7. Consta en el documento 8 aportado por la reclamada de fecha 30 de abril de2021 figura como domicilio postal ***DIRECCIÓN.1 asociada al contrato ***CONTRATO.1, correspondiente al recibo de fecha 30 de abril de 2021. 8. Consta en el documento 9 aportado por la reclamada de fecha 31 de mayo de 2021 figura como domicilio postal C/ ***DIRECCION.2 asociada al contrato ***CONTRATO.1, correspondiente al recibo de fecha 31 de mayo de 2021. TERCERO: CAIXABANK S.A. (en lo sucesivo la recurrente) ha presentado en fecha 13 de octubre de 2022, en esta Agencia Española de Protección de Datos, recurso de reposición. Como fundamento del recurso la recurrente reitera los argumentos expuestos a lo largo del procedimiento y considera que la resolución objeto de recurso vulnera el derecho a la presunción de inocencia de la recurrente y adolece, por consiguiente, de un vicio de nulidad de pleno derecho y, por lo tanto, se revoque la resolución impugnada y se deje sin efecto alguno, con plena indemnidad para la Entidad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDGDD. II En relación con las manifestaciones efectuadas por la entidad recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al VI, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 <<II Se examinan con carácter previo las cuestiones que la reclamada ha planteado en sus dos escritos de alegaciones y que son ajenas al fondo del asunto sobre el que versa el procedimiento sancionador que nos ocupa. En sus alegaciones a la propuesta de resolución la reclamada, además de manifestar que “reitera” íntegramente las alegaciones que hizo frente al acuerdo de apertura del procedimiento, incide de nuevo sobre las cuestiones, ajenas al fondo del asunto, que ya planteó en su primer escrito de alegaciones. Esta Agencia reitera, asimismo, lo que manifestó en la propuesta de resolución en respuesta a los alegatos esgrimidos por la reclamada frente al acuerdo de inicio. A juicio de la reclamada el acuerdo de apertura se encuentra viciado de nulidad por la indefensión que le ha generado el hecho de que la AEPD haya fijado en él el importe de la sanción, en lugar de expresar solo los límites de la posible sanción; porque no se han motivado las agravantes y porque a través del acuerdo de inicio se hace una valoración de la culpabilidad de la reclamada sin que haya tenido ocasión de pronunciase al respecto. Añade también que el acuerdo de inicio excede del contenido previsto en el artículo 68 de la LOPDGDD y que, al haber fijado el órgano decisor el importe de la sanción en el acuerdo de apertura del procedimiento, se ha visto comprometida la imparcialidad del órgano instructor, que conoce así, antes de iniciar el procedimiento, el criterio del órgano al que deberá elevar el expediente, lo que determina en su opinión una “clara ruptura del principio de separación de la fase instructora y de sanción”. Entiende la reclamada que las reglas del artículo 85 de la LPACAP no son aplicables al presente caso sino a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal, según el cual la cuantía de la sanción pecuniaria podrá determinarse “iniciado el procedimiento sancionador”, por lo que, sostiene la entidad, “se estaría asimilando” “el acto mismo de iniciación con el hecho de que el procedimiento se encuentre iniciado”. Los argumentos que esgrime la reclamada no pueden admitirse. El acuerdo de apertura se ajusta a lo previsto en el artículo 68 de la LOPDGDD, conforme al cual bastará con que concrete los hechos que motivan la apertura, se identifique la persona o entidad contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción. En idéntico sentido se expresa el artículo 64.2 de la LPACAP que refiere cuál es el contenido mínimo del acuerdo de iniciación. Según este precepto, entre otros detalles, deberá contener “los hechos que motivan la incoación del procedimiento, su posible calificación jurídica y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. Por ello, en este caso, no solo se cumplen las exigencias mencionadas en los preceptos citados, sino que se va más allá, ofreciendo razonamientos que justifican la posible calificación jurídica de los hechos y se mencionan las circunstancias que pueden influir en la determinación de la sanción. No puede obviarse que el artículo 85 de la LPACAP - que contempla la posibilidad de aplicar reducciones sobre el importe de la sanción para el caso de que el infractor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 reconozca su responsabilidad y en caso de pago voluntario de la sanción- obliga a determinar esas reducciones en la notificación del acuerdo de iniciación del procedimiento, lo que implica, necesariamente, que deba fijarse en dicho acuerdo el importe de la sanción correspondiente a los hechos imputados. Extremo que justifica sobradamente que se refieran en él las circunstancias modificativas de la responsabilidad, pues éstas inciden directamente en la determinación de la cuantía de la sanción. En contra de la tesis que defiende la reclamada, el artículo 85 de la LPACAP no prevé tampoco que la cuantía de la sanción se determine una vez iniciado el procedimiento. Más al contrario, es el reconocimiento de la responsabilidad y el pago voluntario de la sanción lo que ha de producirse con posterioridad a ese momento, pero no la fijación de su cuantía. Respecto a que según la cual el artículo 85 LPACAP únicamente podría aplicarse a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal, se ha de indicar que la AEPD viene aplicando el artículo 85 LPACAP de igual forma desde la entrada en vigor de la citada ley sin que la Sala de lo Contencioso Administrativo de la Audiencia Nacional, ante la que cabe recurso contencioso administrativo frente a sus resoluciones, se haya pronunciado nunca en línea con el criterio que esa entidad defiende. No puede tampoco admitirse que haber indicado en el acuerdo de inicio las sanciones que pudiesen corresponder a la reclamada por las infracciones imputadas sea determinante de indefensión o suponga una ruptura del principio de separación de las fases de instrucción y resolución, pues esta Agencia se limita a dar cumplimiento con ello a una de las exigencias previstas en las normas reseñadas. A mayor abundamiento, también los artículos 68 de la LOPDGDD y 64.2 de la LPACAP exigen como contenido del acuerdo de apertura que se fije la sanción que pudiera corresponder. Así pues, la pretendida ruptura “del principio de separación de la fase instructora y de sanción” que aduce la reclamada -extremo que esta Agencia niega- sería, de existir, la consecuencia de la correcta aplicación que esta Agencia viene haciendo de un precepto legal, el artículo 85 de la LPACAP. Sobre lo manifestado por la reclamada de que, habiendo fijado el acuerdo de apertura el importe de la sanción y las circunstancias modificativas de la responsabilidad que podrían apreciarse, ella no ha tenido ocasión de pronunciarse, nos limitamos a señalar que el procedimiento administrativo se inicia precisamente con el acuerdo de apertura y es a partir de entonces -no antes- cuando el artículo 53 de la LPACAP reconoce al interesado una serie de derechos, entre ellos el previsto en el artículo 53.1.e). Por último, por lo que concierne al vicio de nulidad del que, a juicio de la reclamada, adolece el procedimiento como consecuencia de la indefensión que dice haber sufrido cabe indicar lo siguiente: En primer término, la reclamada no especifica en qué apartado del artículo 47.1 de la LPACAP funda la nulidad que invoca. En segundo término, la invocada nulidad del procedimiento en ningún caso podría fundarse en el apartado

  1. a)del artículo 47.1. de la LPACAP, en conexión con la supuesta ruptura de la separación entre la fase instructora y la resolutoria a tenor del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 artículo 24.2 de la C.E. Esto, porque de acuerdo con las SSTC 74/2004 y 175/2005, el principio consagrado en el artículo 24.2 de la C.E. a tenor del cual quien instruye no resuelve, no es aplicable al procedimiento administrativo, de forma que en este ámbito no estamos ante un derecho con rango constitucional. Y finalmente, en tercer lugar, para el caso de que se pretenda fundar la nulidad del procedimiento en el motivo recogido en el apartado
  2. e)del artículo 47.1 de la LPACAP parece conveniente traer a colación la STC 78/1999, de 26 de abril, que en su Fundamento Jurídico 2, dice: “Así pues, según reiterada doctrina constitucional que se sintetiza en el fundamento jurídico 3º de la STC 62/1998, "la estimación de un recurso de amparo por la existencia de infracciones de las normas procesales 'no resulta simplemente de la apreciación de la eventual vulneración del derecho por la existencia de un defecto procesal más o menos grave, sino que es necesario acreditar la efectiva concurrencia de un estado de indefensión material o real' (STC 126/1991, fundamento jurídico 5º; STC 290/1993, fundamento jurídico 4º). Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". En atención a lo expuesto, la petición de la reclamada de que se declare la nulidad del procedimiento administrativo sancionador que nos ocupa debe ser rechazada. Para finalizar el capítulo sobre la pretendida nulidad radical del procedimiento que la reclamada aduce en su defensa, cabe añadir las consideraciones siguientes. Una de ellas relativa al derecho fundamental a un juez imparcial garantizado en el artículo 24.2 de la C.E. La reclamada se ha referido en sus dos escritos de alegaciones a que la actuación de la AEPD ha determinado que se haya “visto afectada sustancialmente la imparcialidad del órgano instructor”, razón por la cual aprovechamos para precisar que esta pretendida afectación de la imparcialidad del instructor tampoco tiene encaje en ese derecho fundamental que garantiza el artículo 24.2 de la C.E., por lo que tampoco podría fundar en ella la nulidad del procedimiento al amparo del apartado
  3. a)del artículo 47.1 de la LPACAP. Sobre el derecho a un juez imparcial cabe señalar que, a mayor abundamiento, no es que no resulte trasladable esta garantía al instructor -que es sobre quien la reclamada hace pivotar la tan deseada nulidad del procedimiento- sino que ni siquiera se reconoce este derecho en el marco del procedimiento administrativo. La STC 76/1990, fundamento jurídico 8, no puede ser más clara: “El derecho a [...] y a un proceso con todas las garantías -entre ellas, la independencia e imparcialidad del juzgador- es una garantía característica del proceso judicial que no se extiende al procedimiento administrativo, ya que la estricta imparcialidad e independencia de los órganos del poder judicial no es, por esencia, predicable con igual significado y en la misma medida de los órganos administrativos (SSTC 175/1987 y 22/1990...”. (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 Por último, respecto al contenido mínimo del acuerdo de apertura previsto en el artículo 64 de la LPACAP y a la “manifiesta contradicción” en la que, según la entidad, se habría incurrido al decir que se “va más allá” de ese contenido mínimo, basta señalar que el artículo 64.2 indica que “deberá contener al menos”, “
  4. b)[...] las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. De manera que, tal y como se expuso en su momento, el acuerdo de apertura de este procedimiento no sólo cumplió las exigencias del articulo 64.2 LPACAP -fijó los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder- sino que “fue más allá” por cuanto detalló, entre otras cosas, las circunstancias modificativas de la responsabilidad que en esa fase se apreciaron. Con ello, ni se otorga “una suerte de beneficio al administrado” ni se “menoscaban” “los derechos consagrados en el artículo 24 de la Constitución.”, tal y como nos reprocha la reclamada. Comentario que no deja de ser llamativo si tenemos en cuenta que uno de los argumentos esgrimidos por la reclamada en sus alegaciones al acuerdo de apertura fue la deficiente argumentación de las circunstancias modificativas de la responsabilidad expuestas en el citado acuerdo. En definitiva, las garantías reconocidas al encartado en el procedimiento administrativo sancionador y las normas reguladoras del procedimiento se han respetado escrupulosamente. Los extremos mencionados por la reclamada en sus dos escritos de alegaciones no entrañan la vulneración de ningún derecho fundamental reconocido en el artículo 24.2 de la C.E. en el que poder sustentar la concurrencia del motivo de nulidad radical del artículo 47.1.
  5. a)LPACAP. Por cuanto antecede, se rechaza la pretensión de la reclamada de que se declare la nulidad del procedimiento. III El apartado
  6. d)del artículo 5.1. del RGPD determinan en cuanto a los “Principios relativos al tratamiento” que: “Los datos personales serán: (…)
  7. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (<exactitud>)” Por su parte, en cuanto a los “Principios de protección de Datos”, el artículo 4.1 de la LOPDGDD determina: “4. Exactitud de los datos. 1. Conforme al artículo 5.1.
  8. d)del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.” IV El artículo 16 del RGPD, respecto del “Derecho de rectificación” establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se complementen los datos personales que sean incompletos, inclusive mediante una declaración adicional.” A su vez, el artículo 12.4 de la citada LOPDGDD, establece como una de las “Disposiciones generales sobre ejercicio de los derechos” que: “4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable”. Por su parte, el artículo 14 de la LOPDGDD, bajo la rúbrica, “Derecho de rectificación”, dispone que: “Al ejercer el derecho de rectificación reconocido en el artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar, cuando sea preciso, la documentación justificativa de la inexactitud o carácter incompleto de los datos objeto de tratamiento.” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  9. b)los derechos de los interesados a tenor de los artículos 12 a 22.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 74.
  10. c)establece que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamente (UE) 2016/679 y, en particular, las siguientes: (…)
  11. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  12. k)de esta ley orgánica.” Y, a estos efectos, obviamente, el hecho de que la parte reclamante solicitara la rectificación varias veces, y la parte reclamada no procediera a realizar dicha rectificación, es por lo que resulta aplicable la excepción establecida. El artículo 72.1k) de la LOPDGDD establece que son infracciones consideradas muy grave “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” V De conformidad con las evidencias de las que se dispone hay que tener en cuenta, la falta de atención al derecho del reclamante de obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales que le conciernan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se complementen los datos personales que sean incompletos, inclusive mediante una declaración adicional. En el supuesto aquí analizado, ha quedado acreditado que la parte reclamante ejercitó su derecho de rectificación ante la entidad demandada, su solicitud no obtuvo la respuesta legalmente exigible. Asimismo, tras las evidencias obtenidas, se constata en relación con las solicitudes de rectificación por parte del reclamante y las respuestas por parte de la reclamada: 1. No constan, con la información aportada por la reclamada, comunicaciones a través del canal Mi Gestor. 2. Consta una respuesta por parte de la reclamada con fecha 05/11/2020 tras solicitud por parte del reclamante de fecha 31/10/2020. En dicha respuesta exclusivamente se explican los canales habilitados para el ejercicio de derechos. Dicha respuesta consta enviada pero no entregada por encontrarse el reclamante ausente en su domicilio. En relación al origen de las distintas direcciones postales y a su efectiva rectificación: 3. En las evidencias aportadas por el reclamante, consta con fecha 31/01/2021 la dirección ***DIRECCIÓN.1 asociada al contrato ***CONTRATO.1, contrato que, en las evidencias aportadas por la reclamada a fecha 13/10/2021, está asociado a la dirección ***DIRECCION.2. 4. En relación a la dirección postal del reclamante en ***DIRECCION.2, dirección a la cual éste solicitó la rectificación, el reclamado no aporta la información solicitada en relación a cómo y cuándo se han producido los cambios a esa dirección postal ni el motivo de dicho cambio. La reclamada tampoco aporta información en relación a que se haya producido una modificación a esta dirección en ningún momento. Sin embargo, esta dirección consta utilizada por la reclamada en algunas comunicaciones dirigidas al reclamante en noviembre y diciembre de 2020 y en abril de 2021. 5. En relación a la dirección postal del reclamante en ***DIRECCION.2 la reclamada no aporta la información solicitada en relación al cómo y al cuándo se han producido los cambios a esa dirección postal. Sí manifiesta que el origen de esa dirección son contratos del reclamante y que la dirección fue proporcionada por éste, pero no se aportan evidencias al respecto más allá de la mera asociación de esta dirección a dichos contratos, según se extrae de captura de pantalla de los sistemas de la parte reclamada. En fecha 13 de mayo de 2022 la reclamada presenta sus alegaciones al acuerdo de apertura del presente procedimiento sancionador, manifestando: << Cúmplenos manifestar que tal declaración no se ajusta a la realidad, puesto que consta en nuestros archivos que en fecha 3 de mayo de 2021 el cliente se personó en la oficina 6435- STORE COSO y se procedió al cambio de dirección del contrato. Ello de acuerdo con las indicaciones facilitadas por la Entidad en la respuesta al ejercicio del derecho de rectificación solicitado. A tal efecto, les adjuntamos (DOCUMENTO NUMERO OCHO y DOCUMENTO NUMERO NUEVE, respectivamente) los recibos correspondientes al contrato interesado, de fechas abril 2021 y mayo 2021, donde se puede observar la modificación realizada>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 Pues bien, a lo contrario que manifiesta la parte reclamada, consta en el documento número 8 la antigua dirección postal del reclamante ***DIRECCIÓN.1 asociada al contrato ***CONTRATO.1, correspondiente al recibo de fecha 30 de abril de 2021. En definitiva, obran en el expediente evidencias de la falta de atención al derecho de rectificación de datos, por parte de Caixabank. Hay que destacar, que en el recibo de fecha 30 de abril de 2021, aportado por la reclamada, consta todavía la antigua dirección postal y solo en el recibo fecha de 31 de mayo de 2021, es cuando aparece ya la nueva dirección postal del reclamante. La conducta descrita vulnera el artículo 16 del RGPD y es subsumible en el tipo sancionador del artículo 83.5.b, del RGPD. VI La reclamada ha solicitado en sus alegaciones que, en sustitución de la multa administrativa prevista en el acuerdo de inicio, esta Agencia le aperciba y, subsidiariamente, reduzca el importe de la sanción de multa fijada en el acuerdo de apertura en 25.000 euros. Sobre la pretensión de que se le dirija un apercibimiento nos remitimos al Considerando 148 del RGPD que dice así: “A fin de reforzar la aplicación de las normas del presente Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas multas administrativas, con carácter adicional a medidas adecuadas impuestas por la autoridad de control en virtud del presente Reglamento, o en sustitución de estas. En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante. La imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías.” Resulta patente que no concurren en el supuesto que nos ocupa los elementos que permiten sustituir la sanción de multa administrativa fijada por el artículo 83.5. del RPGD por un apercibimiento. En la determinación de la multa que deba imponerse a la reclamada por la infracción del artículo 16 RGPD de la que se le responsabiliza, tipificada en el artículo 83.5.
  13. b)RGPD, se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  14. a)a
  15. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  16. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  17. b)la intencionalidad o negligencia en la infracción;
  18. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  19. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  20. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  21. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  22. g)las categorías de los datos de carácter personal afectados por la infracción;
  23. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  24. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  25. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  26. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  27. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 “2. De acuerdo a lo previsto en el artículo 83.2.
  28. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  29. a)El carácter continuado de la infracción.
  30. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  31. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  32. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  33. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  34. f)La afectación a los derechos de los menores.
  35. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  36. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el supuesto analizado se aprecia la concurrencia de los siguientes factores que operan agravando la responsabilidad exigible a la entidad por cuanto evidencian una mayor antijuridicidad de su conducta o una mayor culpabilidad: - La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) La actividad de la reclamada exige que se traten numerosos datos de carácter personal de sus clientes por lo que, dado el importantísimo volumen de negocio de la entidad financiera reclamada cuando acontecen los hechos, la transcendencia que puede tener su conducta infractora es innegable. - El tiempo desde que solicitó la parte reclamante la rectificación hasta que se llevó a cabo (art. 83.2
  37. a)del RGPD). Así las cosas, valoradas las circunstancias previstas en el artículo 83.2 del RGPD, apartados.
  38. a)y k), este último en relación con el artículo 76.2.
  39. b)LOPDGDD, en calidad de agravantes de la conducta examinada, que la multa administrativa a imponer por la infracción del artículo 16 del RGPD, tipificada en el artículo 83.5.b RGPD, se fije en 25.000 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada>> Por tanto, analizadas las alegaciones efectuadas en el presente recurso potestativo de reposición, se comprueba que no se han aportado en ellas nuevos argumentos jurídicos que permitan reconsiderar el sentido de la resolución sancionadora dictada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 en fecha 23 de junio de 2020. III En consecuencia, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK S.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 9 de septiembre de 2022, en el procedimiento sancionador PS/00183/2022. SEGUNDO: NOTIFICAR la presente resolución a la entidad CAIXABANK S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  40. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  41. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.