1/12 Expediente nº.: EXP202414355 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 19 de junio de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 19 de junio de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202414355, en virtud de la cual se imponía a A.A.A.: ─ Una infracción del artículo 6 del RGPD tipificada en el artículo 83.5.
- a)del RGPD por el tratamiento de datos personales para preparar sistemas personalizados de dosificación sin contar con el consentimiento expreso de los pacientes, una multa de 5.000 euros. ─ Una infracción del artículo 6 del RGPD tipificada en el artículo 83.5.
- a)del RGPD por el tratamiento de datos personales para la dispensación de medicación sin contar con base de legitimación, una multa de 5.000 euros. ─ Una infracción del artículo 6 del RGPD tipificada en el artículo 83.5
- a)del RGPD por cesión ilícita de datos personales a terceros no autorizados, una multa de 5.000 euros. ─ Una infracción del artículo 14 del RGPD, tipificada en el artículo 83.5.
- b)del RGPD por no facilitar la información exigida cuando los datos personales no son obtenidos del interesado, una multa de 3.000 euros. ─ Una infracción del artículo 32 del RGPD, tipificada en el artículo y 83.4.
- a)del RGPD por carecer de medidas técnicas y organizativas de seguridad adecuadas al riesgo, una multa de 3.000 euros. Dicha resolución, que fue notificada a la parte recurrente en fecha 19 de julio de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00197/2025, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: Desde el 30 de junio de 2022, A.A.A., con NIF ***NIF.1, es titular de la oficina de farmacia ***CÓDIGO.1, ***FARMACIA.1, (...). SEGUNDO: Los días 9 de mayo de 2023 y 9 de abril de 2024, el Servicio de Inspección de Farmacia de la Comunidad Autónoma de Cataluña, realizó inspecciones de farmacia a la oficina de farmacia ***CÓDIGO.1 titularidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 A.A.A., a raíz de las cuales se dictaron, respectivamente, las actas de inspección ***ACTA.1 y ***ACTA.2. TERCERO: Asimismo, el Servicio de Inspección de Farmacia de la Comunidad Autónoma de Cataluña realizó inspecciones en las oficinas de farmacia siguientes: El 23 de noviembre de 2023, en la oficina de farmacia ***CÓDIGO.2, sita en (…), dictándose el acta de inspección ***ACTA.3. El 28 de noviembre de 2023, en la oficina de farmacia ***CÓDIGO.3, situada en (…), dando lugar al acta ***ACTA.4. El 10 de enero de 2024, en la oficina de farmacia ***CÓDIGO.4, ubicada en (…), dando lugar al acta ***ACTA.5. El 14 de febrero de 2024, en la oficina de farmacia ***CÓDIGO.5, situada en (…), dictándose el acta de inspección ***ACTA.6. El 12 de abril de 2024, en la oficina de farmacia ***CÓDIGO.6, ubicada en la (…) dando lugar al acta de inspección ***ACTA.7. El 14 de febrero de 2024 la inspección se llevó a cabo en la oficina de farmacia ***CÓDIGO.5, situada en (…), dictándose el acta de inspección ***ACTA.6. CUARTO: Entre el 1 de noviembre de 2022 hasta el 12 de febrero de 2024 A.A.A. preparó sistemas personalizados de dosificación (SPD), previa dispensación de la medicación a estos efectos, para aproximadamente 1.500 pacientes de 29 centros geriátricos de Cataluña, de acuerdo con las mencionadas actas. En concreto: (…) QUINTO: Para la preparación de sistemas personalizados de dosificación y para la dispensación de medicamentos trataba los datos personales de los residentes, incluyendo datos de salud. SEXTO: A.A.A. no dispone del consentimiento informado de los mencionados pacientes para la preparación de SPD. SÉPTIMO: Tampoco consta acreditada base legitimadora que amparara el tratamiento de datos personales realizado por A.A.A. para la dispensación de medicamentos anteriormente señalada. OCTAVO: Entre el 1 de noviembre de 2022 hasta el 12 de febrero de 2024 A.A.A. facilitó de manera periódica datos personales de residentes (nombre, apellidos y CIPA, entre otros) a otras oficinas de farmacia (***CÓDIGO.2, ***CÓDIGO.6, ***CÓDIGO.4 y ***CÓDIGO.5, al menos), para que estas procedieran a la dispensación de pañales, tal y como se recoge en las actas del Servicio de Inspección de Farmacia de Cataluña correspondientes a sus respectivas inspecciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 NOVENO: No consta consentimiento de los interesados a favor de A.A.A. para la comunicación de datos personales, incluyendo datos de salud, a otras farmacias para que estas dispensaran pañales para los pacientes. DÉCIMO: La comunicación de los datos personales a otras farmacias para la dispensación por estas de pañales se realizaba desde la dirección de correo electrónico ***EMAIL.1 mediante la remisión de documentos Excel. Los documentos Excel se enviaban mediante correo electrónico carente de cualquier tipo de cifrado u otras medidas de seguridad, de acuerdo con las mencionadas actas. Además, la parte denunciada facilitaba claves de acceso a otras farmacias al programa ***EMPRESA.1. En este programa figuraban los datos personales de los residentes, como el nombre, apellidos, DNI, tarjeta sanitaria, CIPA o la receta electrónica, entre otros. UNDÉCIMO: A.A.A. no facilitó ninguna información sobre el tratamiento de sus datos personales a los residentes de los 29 centros geriátricos para quienes dispensaba medicación, preparaba SPD o cuyos datos facilitaba a otras farmacias que estas procedieran a la dispensación de sus pañales, ni mientras tuvo lugar el tratamiento, entre el 1 de noviembre de 2022 hasta el 12 de febrero de 2024, ni con posterioridad. DUODÉCIMO: El responsable del tratamiento en materia de protección de datos personales es A.A.A., con NIF ***NIF.1, en tanto que titular de la oficina de farmacia”. TERCERO: La parte recurrente ha presentado en fecha 10 de agosto de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, en el que en síntesis alega lo siguiente: 1. Asegura que fue titular de la oficina de farmacia ***CÓDIGO.1, y que “heredó” la preparación de SPD de la ***FARMACIA.2. Asegura que el traspaso de los robots, documentación de los pacientes y del personal se produjo de mutuo acuerdo entre las partes y que en ningún caso tuvo intención de vulnerar la normativa de protección de datos. 2. Insiste en que delegó de buena fe la gestión diaria de las residencias a dos personas quienes se encargaban de todos los asuntos, incluida la facilitación de accesos a la plataforma ***EMPRESA.1, así como la coordinación con las residencias y los proveedores. 3. En relación con los correos sin cifrado o accesos por terceros a los datos personales de los pacientes, señala que “no era consciente de que se estaban usando canales inseguros de información o de que se estuvieran compartiendo claves sin su autorización expresa. Cuando descubrí ciertas irregularidades, decidí cesar voluntariamente la actividad de SPD en febrero de 2024”. 4. Reitera que desde el 22 de febrero de 2024 no tiene acceso a la base de datos de ***EMPRESA.1 y que, sin su consentimiento, la empresa ***EMPRESA.2 retiró toda la medicación de las residencias de su farmacia para llevarla a la ***FARMACIA.3. 5. Indica que en “muchas residencias, como la ***RESIDENCIA.1, consta documentación que acredita que los pacientes o sus representantes firmaron C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 contratos de cesión de datos y consentimientos informados antes de iniciar el servicio”. Añade que “en el expediente constan contratos de cesión de datos y consentimientos firmados por los residentes, lo cual legitima el tratamiento de datos personales por mi parte como farmacéutico responsable”. 6. Considera que no puede imputársele responsabilidad directa de las actuaciones realizadas por terceros en los que delegó de buena fe. Alega falta de dolo o negligencia, así como de responsabilidad subjetiva conforme al artículo 28.1 Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público. Reitera que, en cuanto tuvo conocimiento de irregularidades cesó la actividad y lo denunció formalmente. 7. Asegura que se ha violado el principio de presunción de inocencia. 8. Por último, señala “sobre al proporcionalidad y actuación diligente- art. 83.2 RGPD y artículo 29 LRJSP. Durante todo el procedimiento he mostrado colaboración con la administración, he facilitado información y documentación cuando fue requerida y decidí cesar voluntariamente la actividad sin necesidad de requerimiento previo, lo que demuestra una voluntad de cumplimiento normativo. Además, no existe reincidencia ni antecedentes en materia sancionadora”. Finaliza su escrito solicitando: “1. Que se tenga por presentado este recurso de reposición y se admita en tiempo y forma. 2. Que se revoque la resolución sancionadora dictada el 19 de junio de 2025, al no haber cometido infracción conforme a lo dispuesto en el RGPD ni en la LOPDGDD. 3. Que se archive el procedimiento sancionador sin imposición de sanción alguna, considerando la inexistencia de dolo o negligencia grave, la colaboración prestada, el cese voluntario de la actividad y mi buena fe.” FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas Las alegaciones pueden contestarse agrupándolas por materias en los siguientes términos, en aras a una mayor eficacia: 1. En lo que se refiere a la supuesta existencia de contratos de cesión de datos y consentimientos de pacientes que legitimarían el tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 Resultan llamativas estas afirmaciones del ahora recurrente, puesto que, tal y como se recoge en la resolución recurrida, los supuestos contratos no constan en el expediente, como tampoco lo hacen los supuestos consentimientos y en contestación a los requerimientos efectuados por esta Agencia durante las actuaciones previas de investigación se señaló por este que no tenía en ese momento, ni había tenido nunca, acceso a los mismos. Conviene, por tanto, remitir a lo contenido en el fundamento jurídico IV de la resolución recurrida, en particular: ─ En relación con la infracción del artículo 6 del RGPD por el tratamiento de datos personales para preparar sistemas personalizados de dosificación sin contar con el consentimiento expreso de los pacientes: “En el acta ***ACTA.1 de 9 de mayo de 2023 se señala que, cuando inició la preparación de SPD en noviembre de 2022, la documentación de los pacientes que fue facilitada por otra farmacia con la que firmó un documento de traspaso. En concreto se señala: “(…). En su respuesta de 21 de febrero de 2025, preguntada sobre la base de legitimación que ampararía el tratamiento correspondiente a la preparación de SPD, la parte denunciada asegura que la gestión de los datos personales de su oficina de farmacia se realizaba por “mercantil ***EMPRESA.3., dirigida por B.B.B., mediante un contrato de explotación y un poder general que le otorgaban plena capacidad de actuación sobre la farmacia”. (…) Además, asegura que “el tratamiento de datos personales de los residentes fue realizado sin mi supervisión ni mi consentimiento, ya que nunca tuve acceso a los sistemas de gestión informática ni a los registros de los residentes atendidos en la farmacia”. (…) Por último, señala que no puede determinar el número de residencias ni de pacientes a los que preparaba SPD y que, si bien existían contratos con estas, no tiene acceso a los mismos. Así, concluye: “(…) detalles sobre las condiciones contractuales, volúmenes de pacientes atendidos ni las bases legales del tratamiento de datos personales, información que debe ser requerida directamente a ***EMPRESA.3.”. ─ Respecto a la infracción del artículo 6 del RGPD por el tratamiento de datos personales para la dispensación de medicación sin contar con base de legitimación. “(…) preguntada la parte denunciada por la base de legitimación que ampararía el tratamiento de los datos personales de los residentes para la dispensación de su medicación, asevera que los “(…) detalles sobre las condiciones contractuales, volúmenes de pacientes atendidos ni las bases legales del tratamiento de datos personales, información que debe ser requerida directamente a ***EMPRESA.3. (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 ─ En cuanto a la infracción del artículo 6 del RGPD por cesión ilícita de datos personales a terceros no autorizados “(…) Sobre la cesión de datos personales de residentes a otras farmacias para que estas procedieran a la dispensación de pañales, la parte denunciada no realiza ninguna manifestación, ni presenta prueba en contrario, en su respuesta a la AEPD de 21 de febrero de 2025, sin que, por tanto, se desvirtúe lo recogido en las actas de la Inspección de Farmacia. Así, no consta acreditación de que existiera para el tratamiento de comunicación de datos a terceros no autorizados, como las farmacias anteriormente mencionadas, base de legitimación alguna. A saber, no consta consentimiento de los afectados, tampoco puede admitirse que el tratamiento se haya realizado por ser necesario para la ejecución de un contrato lícito, el cumplimiento de una obligación legal o el cumplimiento de una misión de interés público. No se aprecia tampoco la existencia de un interés vital, debido al carácter restrictivo de este, ni tampoco la existencia de un interés legítimo del responsable que, en cualquier caso, habría obligado a la ponderación de éste con los derechos y libertades de los afectados (…)” En cuanto a la manifestación realizada sobre que le resulta imposible acceder a las bases de datos, se recalca que esta circunstancia ya fue tenida en consideración a la hora de dictar resolución a la que se remite. Asimismo, se insiste en que el artículo 5.2 del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la Directiva 95/46/CEE, derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD 2. Respecto a la ausencia de dolo o negligencia, intencionalidad así como responsabilidad subjetiva en tanto que (
- i)había delegado de buena fe en la gestión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 realizada por terceros, lo que implicaría, a su juicio, una ausencia de responsabilidad directa (
- ii)desconocía las actuaciones que se estaban llevando a cabo, en particular respecto a la ausencia de medidas de seguridad (iii) actuó diligentemente al cesar la actividad cuando tuvo conocimiento de las irregularidades y lo denunció formalmente. En primer término, se estima necesario reiterar lo contenido en las cuestiones previas de la resolución recurrida sobre la condición del recurrente como responsable del tratamiento y su supuesta delegación en terceros: “(…) Aun cuando A.A.A. asegure que la responsable del tratamiento es otra entidad, con la que suscribió un contrato por el que esta se definía como “TITULAR REAL de la [oficina de farmacia], no siendo también la oficial por no poder cumplir con los requisitos dela normativa sectorial para ostentar la titularidad de oficinas de farmacia, dado que la citada compañía no cuenta con las condiciones administrativas, para asumir la titularidad sanitaria y colegial de la Oficina de Farmacia anteriormente descrita”, no puede obviarse que el Código Civil en su artículo 1.261 establece los requisitos básicos para la validez de todo contrato, entre los que destaca “el objeto cierto que sea materia del contrato”. Tal y como se ha señalado, la dispensación de medicamentos y/o pañales y la preparación de SPD es competencia exclusiva de las oficinas de farmacia. Asimismo, únicamente un farmacéutico puede ser propietario y titular de estas de acuerdo con lo previsto, entre otros, en el artículo 103.4 de la Ley General de Sanidad. Por tanto, no cabe la “cesión” de la titularidad a terceros que no cumplan los requisitos por la ley y, en consecuencia, el objeto del mencionado contrato no puede entenderse como cierto. Atendiendo a lo anterior, A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD (…)” Por tanto, la condición del recurrente como responsable del tratamiento es incuestionable. En cuanto a la alegada ausencia de responsabilidad subjetiva, negligencia, intencionalidad y, en consecuencia, culpa, debe señalarse que el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). En definitiva, la ausencia de intencionalidad alegada por el recurrente, no le exonera de culpa, en la medida de que, aun cuando lo afirmado por este fuera cierto, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 aprecia, cuando menos, una negligencia y falta de diligencia notable, en los términos reconocidos en la jurisprudencia. 3. En cuanto a la alegada vulneración del principio de presunción de inocencia: Alega el recurrente la vulneración de este principio sin especificación de las razones que le llevan a así considerarlo. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. La resolución recurrida cuenta, para cada una de las infracciones con pruebas de cargo acreditativas de los hechos constitutivos de infracción, que se recogen, además, en los hechos probados de la resolución. Además, en el presente caso existe certeza sobre la identidad del responsable y su vinculación con los hechos. 4. En lo referente a las alegaciones relativas a la ausencia de proporcionalidad de las sanciones: Considera el recurrente que las sanciones impuestas en la resolución recurrida no serían proporcionadas, dado que no habrían tenido en cuenta los siguientes aspectos: (
- i)ha mostrado colaboración con la administración ya que ha facilitado información y documentación cuando le fue requerida (
- ii)no existe reincidencia ni antecedentes en materia sancionadora y (iii) cesó la actividad sin necesidad de requerimiento previo. Conviene, clarificar en primer término que el RGPD establece su propio sistema sancionador y de determinación de la cuantía de la multa en el artículo 83, en cuyo apartado 1 establece la necesidad de que las multas han de ser, para cada caso individual, efectivas, proporcionadas y disuasorias. La tipificación de las infracciones se realiza por el propio RGPD en sus artículos 83.4, 83.5 y 83.6. En estos artículos, el RGPD rehúye de la tradicional diferenciación entre infracciones muy graves, graves y leves, y distingue, atendiendo a su vocación de permanencia en el tiempo, entre aquellos incumplimientos que puedan suponer una multa administrativa de un máximo de 10.000.000 euros o del 2% del volumen de negocio (artículo 83.4) y aquellos que puedan suponer como máximo 20.000.000 de euros o el 4% del volumen de negocios (artículo 83.5). Además, se tipifica el incumplimiento de las resoluciones de las autoridades de control (artículo 83.6). Por su parte, el artículo 83.2 del RGPD consagra las diferentes circunstancias que habrán de tenerse en cuenta a la hora de determinar la cuantía de la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 A este respecto, tal y como señalan las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, existen tres elementos como punto de partida para la imposición de una multa: el volumen de negocios en caso de que se trate de una empresa, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso concreto. Este nivel de gravedad no debe confundirse con el término “gravedad” utilizado tradicionalmente en la jurisprudencia española a efectos de calificación de una infracción entre muy grave, grave y leve. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2
- a)naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2
- b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
- g)las categorías de los datos de carácter personal afectados. Sobre ese punto de partida determinado por esos tres elementos, se podrán aplicar circunstancias agravantes o atenuantes (el resto de los elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). Dicho lo anterior, en la resolución recurrida, se imponen las siguientes multas: 5.000 euros por cada una de las tres infracciones del artículo 6 del RGPD, 3.000 euros por una infracción del artículo 14 del RGPD y 3.000 euros por una infracción del artículo 32 del RGPD, motivándose para cada una de las sanciones las circunstancias relativas a la determinación del nivel de gravedad. En cuanto al resto de circunstancias, se aprecia como agravante para todas las infracciones lo previsto en el artículo 76.2
- b)de la LOPDGDD en relación con el artículo 83.2
- k)del RGPD, así como, en el caso de las infracciones del artículo 6 del RGPD, las circunstancias previstas en el artículo 76.2
- c)en relación con el artículo 83.2
- k)del RGPD. No se han apreciado otros agravantes ni tampoco la existencia de atenuantes. De las alegaciones del recurrente se desprende que considera que deberían haberse valorado como atenuantes las circunstancias previstas en los artículos 83.2
- f)del RGPD (colaboración con la autoridad de control) y 83.2
- e)del RGPD (la inexistencia de infracciones anteriores). No obstante, se subraya que tal y como señala la sentencia de la Audiencia Nacional, de 05/05/2021, rec. 1437/2020, no puede ser valorados como atenuantes, circunstancias que la norma prevé como agravantes. En concreto, señala: “considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.
- c)de la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su aplicación como atenuante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 Lo mismo ocurre en relación con el artículo 83.2 f), sin olvidar, además, que la cooperación con la autoridad de control por parte del responsable es una obligación prevista por el RGPD. En este sentido, la misma sentencia señala: “respecto de la propugnada aplicación como atenuante de la circunstancia
- f)del artículo 83.2 del RGPD ' el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción’, basta remitirnos a lo expuesto en el Fundamento de Derecho para rechazar la aplicación de dicha atenuante”. En la misma línea se subraya que, en lo referente a las manifestaciones realizadas sobre la supuesta colaboración con la autoridad de control en la medida en que ha atendido los requerimientos efectuados por la AEPD en el marco de las actuaciones previas de investigación, ha de subrayarse que en ningún caso pueden estos hechos considerarse como cooperación con la autoridad de control, sino cumplimiento de una obligación legal. Tal y como prevé el RGPD, los responsables del tratamiento están obligados a responder las solicitudes de información y a proporcionar la documentación requerida por las autoridades de control. Esta obligación es parte inherente de su responsabilidad y no constituye, en sí misma, una colaboración para remediar o mitigar los efectos de una infracción. En cuanto a la alegación relativa a que el recurrente cesó la actividad sin necesidad de requerimiento previo, se señala que el RGPD no prevé como circunstancia atenuante que el infractor ponga fin a unos hechos tipificados como infracción. El cese de la conducta infractora será relevante a efectos de determinar, en su caso, entre otros aspectos, la posible prescripción de la infracción, lo que no se ha producido en este supuesto. Atendiendo a lo anterior, deben ser desestimadas todas las alegaciones realizadas. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 19 de junio de 2025, en el expediente EXP202414355. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es