← España

REPOSICION-PS-00501-2023

1/14  Expediente nº.: EXP202315374 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por RECICLAJES LOGROÑO, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 7 de noviembre de 2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 7 de noviembre de 2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202315374, en virtud de la cual se imponía a RECICLAJES LOGROÑO, S.L., por una infracción de los artículos 5.1.

  1. c)y 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en el artículo 83.5 del RGPD, una multa de 6.000 € (SEIS MIL euros) y 4.000 € (CUATRO MIL euros), respectivamente, lo que hace un total de 10.000 € (DIEZ MIL euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 8 de noviembre de 2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00501/2023, quedó constancia de los siguientes: procedimiento sancionador, “HECHOS PROBADOS PRIMERO: A la parte reclamante, en el momento de realizar la entrega de material en las delegaciones de Pamplona y Logroño de la entidad reclamada, se le exige su DNI para formalizar dicha entrega y realizar una fotocopia del mismo. SEGUNDO: RECICLAJES LOGROÑO, S.L, en el momento de solicitar el DNI a la parte reclamante, no puso a su disposición la información que debe facilitarse cuando los datos personales se recogen del interesado. TERCERO: RECICLAJES LOGROÑO, S.L solicita y fotocopia el DNI de los clientes como requisito para su actividad de negocio. CUARTO: RECICLAJES LOGROÑO, S.L manifiesta que los DNI fotocopiados se guardan y archivan y únicamente se comparten con los Cuerpos de Seguridad del Estado cuando son requeridos por ellos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 TERCERO: La parte recurrente ha presentado, en fecha 6 de diciembre de 2024, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en los siguientes aspectos: 1. Nulidad de la resolución por vulneración del principio de seguridad jurídica y del principio de tipicidad. Asegura la parte recurrente que en que el tratamiento de los datos realizado consistente en la recogida de la fotocopia del DNI se ha hecho por imperativo legal, en aplicación de la normativa vigente en el momento de ocurrencia de los hechos que se consideran constitutivos de infracción administrativa. Dicha normativa sería concretamente, la Ley Orgánica 4/2015, de 30 de marzo, de protección de seguridad ciudadana, Orden INT/1920/2011, de 1 de julio, por la que se refuerza el control respecto al comercio del cobre para los centros gestores de residuos metálicos y establecimientos de comercio al por mayor de chatarra y productos de desecho, Orden de 2 de noviembre de 1989 por la que se regulan las modalidades de elaboración de libros-registro y otros documentos de control, obligatorios para determinados establecimientos y resto de normas y jurisprudencia que integran el ordenamiento jurídico del Estado español. Asegura que, en cumplimiento de estas normas, “se comunicó por los Cuerpos de Fuerzas y Seguridad del Estado a mi representada la forma de recogida y, remisión de la información para la cumplimiento de la referida normativa, exigiendo la recogida de fotocopia del DNI para el control del dato de origen del producto y cotejo de la firma con la plasmada en el albarán de compra a efectos de aportación de prueba a las Diligencias Policiales abiertas para la investigación de posibles comisión de delitos de hurto, robo o receptación”. Asegura, por tanto, que no se ha producido incumplimiento alguno del artículo 5.1
  2. c)del RGPD. 2. Vulneración del principio de responsabilidad La segunda de las alegaciones señala que “de manera subsidiaria” a lo anterior, se considera que la resolución es nula de pleno derecho por “vulnerar derechos de amparo constitucional a la tutela judicial efectiva en su vertiente de derecho a un proceso con garantías, por vulneración del principio de responsabilidad”. A este respecto señala que la Delegación del Gobierno de La Rioja ha tramitado “diversos procedimientos sancionadores por falta de recogida de fotocopia del DNI al realizar la compra de productos de chatarra”. No adjunta documentación alguna que acredite estos aspectos, pero se remite, “a efectos probatorios” a “los archivos” de la mencionada Delegación del Gobierno. Asegura, en consecuencia, que en caso de existir responsabilidad, correspondería o bien a la Delegación del Gobierno en cuestión o a las Fuerzas y Cuerpos de Seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 del Estado y, señala, por tanto, que la resolución es nula de pleno derecho de conformidad con lo previsto en el artículo 47.1
  3. a)de la LPACAP. 3. Vulneración del principio de proporcionalidad en relación con la sanción por la infracción del artículo 5.1
  4. c)del RGPD. Considera la parte recurrente que la resolución no ha tenido en cuenta las circunstancias atenuantes previstas en el artículo 83.2 del RGPD a efectos de determinar la cuantía de la multa. Al contrario, señala que únicamente se han tenido en cuenta las agravantes. Considera que deben valorarse como circunstancias atenuantes: la falta de gravedad o persistencia en el tiempo de la actuación infractora, el escaso alcance o la inexistencia de un propósito ilícito, el escaso número de interesados afectados, la inexistencia de daños y perjuicios provocados al reclamante, así como la falta de intencionalidad o negligencia, la existencia de medidas técnicas u organizativas reguladas en los artículo 25 y 32 del RGPD. En consecuencia, considera que la multa que hubiese correspondido es de 600 euros. 4. Vulneración del principio de proporcionalidad en relación con la sanción por la infracción del artículo 13 del RGPD. Asegura la parte recurrente que la resolución hace referencia a la circunstancia agravante del artículo 83.2
  5. a)sin que se haga mención a las circunstancias concretas que llevan a su aplicación. Considera, en consecuencia, que la multa a imponer debería situarse en los 600 euros. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la, LOPDGDD. II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, procede, en primer término, dar contestación a las mismas: - En lo que respecta a la primera de las alegaciones por la que se solicita la nulidad de la resolución por vulnerar esta el principio de seguridad jurídica y de tipicidad en la medida en que el tratamiento de los datos se realiza por imperativo legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 Sin perjuicio de que el artículo 47 de la LPACAP relativo a la nulidad de pleno derecho no prevea entre sus supuestos tasados las causas señaladas por la parte recurrente, deben realizarse una serie de presiones: Contrariamente a lo señalado por la parte recurrente, el objeto del procedimiento sancionador cuya resolución es objeto de recurso, no versa sobre la ausencia de una base de licitud que legitime el tratamiento, sino en la recogida de datos excesivos para la finalidad pretendida. En este sentido, debe señalarse que todo tratamiento de datos personales para ser válido ha de contar con una de las bases de legitimación tasadas que se prevén en el artículo 6 del RGPD. Además, ha de cumplir con todos y cada uno de los principios del tratamiento que se describen en el artículo 5 de la misma norma. Entre ellos se encuentra, en el artículo 5.1
  6. c)el principio de minimización, imputado a la parte recurrente, por el que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Por tanto, aun cuando un tratamiento pudiera contar con base de legitimación, puede no realizarse de acuerdo con alguno de los principios del artículo 5 del RGPD, como ocurre en este supuesto en el que la parte recurrente exige a la parte reclamante una fotocopia de su DNI a efectos de entregar determinada mercancía, sin que le permita realizar una mera exhibición del mismo a efectos de acreditar su identidad. Tal y como recoge la resolución recurrida, solicitar una copia del Documento Nacional de Identidad o del Pasaporte vulnera el principio de minimización de datos, establecido en el artículo 5.1.
  7. c)del RGPD, y supone un tratamiento excesivo de datos. Esto se debe a que el DNI completo contiene más datos que los obligados a aportar en virtud de la normativa aplicable, como la fotografía, la fecha de caducidad del documento, el CAN o el nombre de los padres. Asimismo, el entregar una copia de la documentación personal implica, entre otros, un riesgo innecesario de suplantación de la identidad, que debe ser evitado o, por lo menos, mitigado de manera efectiva. Así, la alegación de la parte recurrente relativa a que el tratamiento se realiza “por imperativo legal”, puesto que así lo exige el artículo 25 de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, en relación con el artículo 1 de la Orden INT Orden INT/1920/2011, de 1 de julio, por la que se refuerza el control respecto al comercio del cobre para los centros gestores de residuos metálicos y establecimientos de comercio al por mayor de chatarra y productos de desecho, que remite, a su vez a la Orden del Ministro del Interior de 2 de noviembre de 1989, permite determinar la existencia de una base de legitimación, no siendo este el objeto del procedimiento sancionador que se recurre. Conviene subrayar, asimismo, que precisamente el Anexo I y II de la Orden del Ministerio del Interior de 2 de noviembre de 1989, al que hace mención la parte recurrente, recoge los datos que deberán ser objeto de registro tanto del vendedor como el interesado en la compraventa. En relación con el vendedor, únicamente hace referencia a nombre y apellidos del vendedor, número de DNI, dirección, clase del objeto, su descripción, precio y fecha de la operación. En ningún caso, hace referencia a la necesidad de recabar la totalidad de los datos contenidos en el documento nacional de identidad, como hace la parte recurrente y se recoge en la resolución objeto de recurso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 Por otra parte, la parte recurrente no ha acreditado ni a lo largo del procedimiento ni al presentar recurso de reposición, las afirmaciones relativas a que las Fuerzas y Cuerpos de Seguridad le instaran a la recogida de una fotocopia del DNI. En cualquier caso, se remite al concepto de responsable desde la perspectiva de protección de datos al que se hará referencia en contestación a la segunda alegación. En consecuencia, no procede estimar la alegación efectuada por la parte recurrente. - En relación con la segunda alegación relativa a la ausencia de responsabilidad de la parte recurrente han de realizarse las siguientes precisiones: En primer lugar, manifiesta la parte recurrente que existe nulidad de pleno derecho de la resolución impugnada, haciendo mención a la causa prevista en el artículo 47.2
  8. a)de la LPACAP por haberse vulnerado su derecho a la tutela judicial efectiva por “ausencia de un proceso sin garantías”. Conviene repasar, por tanto, en primer término, las actuaciones llevadas a cabo por esta Agencia hasta que fue dictada la resolución objeto de recurso. En el presente supuesto, se recibió una reclamación ante este Agencia el 6 de octubre de 2023. El 2 de noviembre de 2023 se llevaron a cabo, de acuerdo con lo previsto en el artículo 65.4 de la LOPDGDD actuaciones de traslado a la parte recurrente, que fueron contestadas por esta el 8 de noviembre de 2023. De conformidad con el artículo 65.5 de la LOPDGDD, el 13 de noviembre de 2023 se acordó por esta Agencia la admisión a trámite de la reclamación. La apertura del procedimiento sancionador se realizó mediante un acuerdo de inicio de 13 de junio de 2024 que fue debidamente notificado a la parte recurrente ese mismo día, en el que se imputaban las presuntas infracciones de los artículos 5.1
  9. c)y 13 del RGPD, tipificadas ambas en el artículo 83.5 del RGPD, se fijaba una sanción inicial de 6.000 y 4.000 euros, respectivamente, y se daba a la ahora parte recurrente plazo para alegaciones. No consta, sin embargo, que la ahora parte recurrente presentara alegaciones a este acuerdo de inicio. En el acuerdo de inicio se hacía referencia a la facultad concedida en el que artículo 64.2
  10. f)de la LPACAP, que establece que, si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. De conformidad con este artículo, el 7 de noviembre de 2024 se dictó resolución del procedimiento sancionador que fue debidamente notificada a la ahora recurrente el 8 de noviembre de 2024. En la resolución se hacía referencia a la posibilidad de la ahora parte recurrente de presentar o bien recurso de reposición o acudir a la vía contencioso-administrativa. En definitiva, en el marco del procedimiento, RECICLAJES LOGROÑO ha podido solicitar las pruebas que ha considerado oportunas y formular alegaciones, sin que, por tanto, se aprecie la existencia de un proceso sin garantías. Por otra parte, en cuanto a las afirmaciones sobre la supuesta existencia de procedimientos sancionadores por parte de la Delegación del Gobierno por “falta de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 recogida de fotocopia de DNI” a la que se hace referencia y sobre la que se insta práctica de prueba, se subraya, por una parte, que tal afirmación no ha sido acreditada por la parte recurrente y que, además, la posibilidad de instar la celebración de un periodo probatorio consagrada en los artículos 77 y 78 de la LPACAP, ha de ejercitarse antes de dictarse propuesta de resolución y no, como pretende hacer la parte recurrente, en vía de recurso de reposición. En cualquiera de los casos, en relación con las afirmaciones relativas a su supuesta ausencia de responsabilidad y que, en su caso, esta correspondería a otros sujetos, debe hacerse una especial referencia al concepto de responsable desde la perspectiva de protección de datos. Este es, tal y como se recoge en la resolución recurrida quien define los fines y medios de un tratamiento de datos personales. Al respecto, las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD establecen que el concepto de responsable del tratamiento es, por una parte un concepto funcional y, por otra, un concepto autónomo: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato). Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable. 13. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» también son conceptos autónomos, en el sentido de que, aunque fuentes legales externas puedan ayudar a identificar quién es el responsable, este concepto debe interpretarse fundamentalmente con arreglo al Derecho de la Unión en materia de protección de datos. El concepto de «responsable del tratamiento» no debería verse afectado por otros conceptos —con los que a veces colisiona o se solapa— de otros ámbitos del Derecho, como los conceptos de «autor» o «titular de derechos» de la normativa sobre la propiedad intelectual o la competencia”. Lo que significa que habrá que atender a las circunstancias del caso concreto y comprobar quién determina los fines y medios con independencia de lo que pueda indicar, por ejemplo, un contrato, para identificar al responsable del tratamiento. Sin perjuicio de lo anterior, en ocasiones, el responsable puede venir determinado por una disposición normativa que le encomiende realizar una actuación o una actividad, como ocurre en el presente caso. Así, tal y como señalan las Directrices 07/2020 en estos supuestos, este sujeto será el responsable del tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 “22. En algunos casos, el control puede inferirse de una competencia legal explícita; p. ej., cuando la designación del responsable del tratamiento o los criterios específicos de su nombramiento se establecen en el Derecho nacional o de la UE. En este sentido, el artículo 4, punto 7, establece que «si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros». A pesar de que el artículo 4, punto 7, solo hace referencia al «responsable del tratamiento» en singular, el CEPD también considera posible que el Derecho de la Unión o de los Estados miembros designe más de un responsable del tratamiento, incluso en calidad de corresponsables del tratamiento. 23. Cuando el responsable del tratamiento se haya identificado expresamente en la normativa, esto se considerará determinante a la hora de establecer quién actúa como tal. Se presupone, por tanto, que el legislador ha designado como responsable del tratamiento al ente con verdadera capacidad para ejercer el control. En algunos países, el Derecho nacional establece que las autoridades públicas son responsables del tratamiento de datos personales en el marco de sus obligaciones. 24. No obstante, es más frecuente el caso en que la legislación, más que nombrar directamente al responsable del tratamiento o fijar los criterios para su nombramiento, establezca un cometido o imponga a alguien el deber de recoger y tratar determinados datos. En tales casos, el objetivo del tratamiento suele venir determinado por la ley. El responsable del tratamiento será normalmente el designado por la ley para cumplir este fin, este cometido público. Este sería, por ejemplo, el caso de un ente al que se le encargaran ciertos cometidos públicos (por ejemplo, la seguridad social) que no se pudieran cumplir sin recoger al menos algunos datos personales, y que, por tanto, creara una base de datos o un registro para realizar dichas tareas. En este caso, aunque indirectamente, la legislación establece quién es el responsable del tratamiento. Con mayor frecuencia, la ley puede imponer a entes públicos o privados la obligación de conservar o facilitar determinados datos. En el presente caso, tal y como señala el propio recurrente en sus alegaciones, el artículo 25 de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, en relación con el artículo 1 de la Orden INT Orden INT/1920/2011, de 1 de julio, por la que se refuerza el control respecto al comercio del cobre para los centros gestores de residuos metálicos y establecimientos de comercio al por mayor de chatarra y productos de desecho, que remite, a su vez a la Orden del Ministro del Interior de 2 de noviembre de 1989, le imponen una serie de obligaciones que conllevan el tratamiento de datos personales, en particular la recogida y registro del nombre y apellidos y número de DNI de los vendedores de metales. Ahora bien, en este caso, la parte recurrente al realizar esa recogida se ha excedido en los datos necesarios para alcanzar el fin previsto en la normativa y es, por tanto, a quien cabe exigir, su la responsabilidad derivada de su incumplimiento. Por otra parte, y en lo que se refiere a la responsabilidad administrativa de la parte recurrente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 El principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa." A tal efecto, la Sentencia del Tribunal de Justicia de la Unión Europea, de 5 de diciembre de 2023, recaída en el asunto C-807/21 (Deutsche Wohnen), indica: “76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD (véanse, por analogía, las sentencias de 18 de junio de 2013, Schenker & Co. y otros, C 681/11, EU:C:2013:404, apartado 37 y jurisprudencia citada; de 25 de marzo de 2021, Lundbeck/Comisión, C 591/16 P, EU:C:2021:243, apartado 156, y de 25 de marzo de 2021, Arrow Group y Arrow Generics/Comisión, C 601/16 P, EU:C:2021:244, apartado 97).” En esta misma línea se expresan los órganos jurisdiccionales de nuestro país. De este modo, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) “(…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Esa imputación comporta un elemento intelectual conforme al cual la acción típica no solo se ejecuta por el propio sujeto, sino que se hace a conciencia y voluntad, es decir, de manera intencional, o bien por una negligencia más o menos intensa, en cuanto se ha omitido la diligencia que sería exigible en la ejecución del acto para evitar el efecto pernicioso”. A su vez, la Sentencia de la Audiencia Nacional, de 21 de enero de 2010, expone: “La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es cierto que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. La actuación de XXX es claramente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 negligente pues… debe conocer… las obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros. XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio derecho”. Asimismo, hay que tener en cuenta que el Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Además, conviene destacar que el modo de atribución de responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 " (...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma" (en este sentido STS de 24 de noviembre de 2011, Rec 258/2009). A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en las SSTS de 9 de octubre de 2009, Rec 5285/2005, y de 23 de octubre de 2010, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Tal y como se recoge en la resolución objeto de recurso, la conducta imputada a la parte recurrente se ha producido, cuando menos, con carácter negligente, en tanto que denota, como poco, un desconocimiento de sus obligaciones en materia de protección de datos y la obligaciones que le son de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 - En relación con las alegaciones 3 y 4 relativas a la ausencia de proporcionalidad de las multas impuestas, deben realizarse, en primer lugar, una serie de precisiones: El RGPD establece su propio sistema sancionador y de determinación de la cuantía de la multa en el artículo 83. El artículo 83.2 del RGPD consagra las diferentes circunstancias que habrán de tenerse en cuenta a la hora de determinar la cuantía de la sanción. Así, tal y como señalan las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, existen tres elementos como punto de partida para la imposición de una multa: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso concreto. Este nivel de gravedad no debe confundirse con el término “gravedad” utilizado tradicionalmente en la jurisprudencia española a efectos de calificación de una infracción entre muy grave, grave y leve. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2
  11. a)naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2
  12. b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
  13. g)las categorías de los datos de carácter personal afectados. Sobre ese punto de partida determinado por esos tres elementos, se podrán aplicar circunstancias agravantes o atenuantes (el resto de los elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). Dicho lo anterior, en lo que respecta concretamente a la ausencia de proporcionalidad respecto a la multa del artículo 5.1
  14. c)del RGPD, contenido en la tercera alegación, se subraya lo siguiente: o En la resolución impugnada, a diferencia de lo que señala la parte recurrente, no se han valorado circunstancias agravantes. Al revés, se expresaba como circunstancia a efectos de determinar el nivel de gravedad -y no, por tanto, a modo de agravante- las circunstancias del artículo 83.2
  15. g)en el caso del artículo 5.1
  16. c)de RGPD, en la medida en que los datos afectados (DNI) son datos “sensibles”, de acuerdo con lo señalado por las Directrices 04/2022 que señalan: “En cuanto al requisito de tener en cuenta las categorías de datos personales afectadas (artículo 83, apartado 2, letra
  17. g)del RGPD), el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por lo tanto, una respuesta más estricta en términos de multas. Esto se refiere, como mínimo, a los tipos de datos cubiertos por los artículos 9 y 10 del RGPD, y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado26 (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito)27. En general, cuanto más se trate de tales categorías C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 de datos o más sensibles sean los datos, más peso podrá atribuir la autoridad de control a este factor”. o En cuanto a la supuesta falta de aplicación de atenuantes se significa que:  Las circunstancias relativas a la falta de gravedad, duración, alcance, propósito y número de afectados, así como daños y perjuicios, se corresponden con las circunstancias previstas en el artículo 83.2
  18. a)del RGPD, esto es, circunstancias necesarias para tener en cuenta el nivel de gravedad y no, por tanto, circunstancias agravantes o atenuantes.  Lo mismo ocurre respecto a la intencionalidad y negligencia prevista en el artículo 83.2
  19. b)(que no debe confundirse con la intencionalidad o negligencia necesarios para la existencia del principio de culpabilidad en el ordenamiento jurídico español). Tal y como señalan las mencionadas Directrices, estas circunstancias, en el mejor de los casos, tendrán una valoración neutra, como ocurre en el presente supuesto, de ahí que no se incluyan en la resolución.  En cuanto a la existencia de medidas propias del artículo 25 y 32 del RGPD, circunstancia prevista en el artículo 83.2
  20. d)del RGPD y que el recurrente considera que debería haberse aplicado como atenuante las mencionadas Directrices señalan: “81. Dado el mayor nivel de rendición de cuentas en virtud del RGPD en comparación con la Directiva 95/46/CE35 , es probable que el grado de responsabilidad del responsable o encargado del tratamiento se considere un factor agravante o neutral. Solo en circunstancias excepcionales, cuando el responsable o el encargado del tratamiento hayan ido más allá de las obligaciones que se les imponen, esto se considerará un factor atenuante”. En definitiva, no debe confundirse la obligación de todo responsable de contar con las medidas propias del artículo 25 y 35 exigidas por el RGPD, con la posibilidad de que estas, en determinados supuestos concretos, atendiendo a circunstancias concretas, y con carácter excepcional, pudieran llegar a ser consideradas como atenuantes. Todo ello sin olvidar, además, que la parte recurrente no acredita ni en fase de recurso, ni ha acreditado durante el transcurso del procedimiento, la existencia de estas medidas, cuando corresponde a este, de acuerdo con el principio de responsabilidad proactiva previsto en el artículo 5.2 de RGPD, desarrollado por el artículo 24 de la misma norma, no solo garantizar el cumplimiento del RGPD, sino ser capaz de demostrar dicho cumplimiento. o Por último, como se ha señalado, la multa debe tener como punto de partida (
  21. i)el volumen de negocios de la parte recurrente, (
  22. ii)la categorización de la infracción y las circunstancias del artículo 83.2 a),
  23. b)y
  24. g)del RGPD. En el caso concreto que nos ocupa, el volumen de negocios de la parte recurrente recogido en la resolución es de (...). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 Por otra parte, el artículo 83.5 del RGPD tipifica (categoriza) la infracción del artículo 5.1
  25. c)del RGPD. En este artículo se señala que la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de la parte recurrente es de 45.085,64 euros. Lo anterior significa que la sanción a imponer debe estar forzosamente entre los 0 y 20.000.000 euros. La resolución recurrida establece, sin embargo, una sanción de 6.000 euros por la infracción del artículo 5.1
  26. c)del RGPD. En consecuencia, no cabe apreciar que, atendiendo a las circunstancias del caso concreto, la multa prevista en la resolución pueda considerarse desproporcionada como alega la parte recurrente. En lo que respecta concretamente a la alegada ausencia de proporcionalidad de la sanción correspondiente a la infracción del artículo 13 del RGPD (cuarta alegación): o Alega la parte recurrente que la resolución no hace referencia a las concretas circunstancias del artículo 83.2
  27. a)que han sido valoradas a la hora de determinar la cuantía de la multa. Sin embargo, en la resolución se recoge expresamente que, en el momento de solicitar el DNI para proceder a su fotocopia, no procedió a informar a la parte reclamante sobre ninguno de los aspectos enumerados en el artículo 13 del RGPD, ni tan siquiera los fines o la base jurídica. En cualquier caso, en relación con la alegada falta de proporcionalidad de la sanción de 4.000 euros impuesta, ha de hacerse referencia, de nuevo, a que el punto de partida para la imposición de una sanción debe venir determinado por (
  28. i)el volumen de negocios, (
  29. ii)la categorización de la infracción (iii) el nivel de gravedad conforme a las circunstancias del artículo 83.2 a),
  30. b)y
  31. g)del RGPD. El volumen de negocios de la parte recurrente se sitúa, como ya se ha indicado y se subraya en la resolución, en (...). La tipificación del artículo 13 del RGPD, se encuentra en el artículo 83.5 del RGPD, como ocurre con el artículo 5.1
  32. c)del RGPD, lo que implica que la sanción máxima a imponer habrá de ser la cuantía más alta de entre el 4% del volumen de negocio o 20.000.000 de euros. Dado que el 4% del volumen de negocio de la parte recurrente es inferior a 20.000.000, la sanción ha de estar forzosamente entre los 0 y los 20.000.000 euros, como se recoge en la resolución. La multa impuesta por la resolución es de 4.000 euros, por lo que no se aprecia la ausencia de proporcionalidad alegada por la parte recurrente. No cabe, por tanto, estimar las alegaciones realizadas por la parte recurrente. III Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la LPACAP el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por RECICLAJES LOGROÑO, S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 7 de noviembre de 2024, en el expediente EXP202315374. SEGUNDO: NOTIFICAR la presente resolución a RECICLAJES LOGROÑO, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  33. b)de la LPACAP, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  34. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.