← España

REPOSICION-PS-00668-2022

1/13  Expediente nº.: EXP202105473 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por GESTERPOOL, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 4 de abril de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 04/04/2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202105473, en virtud de la cual se imponía a GESTERPOOL, S.L. (en lo sucesivo GESTERPOOL) una multa de 10.000 euros (diez mil euros), por una infracción del artículo 28 del Reglamento (UE) 2016/679 (RGPD), tipificada en el artículo 83.4.

  1. a)del mismo Reglamento, y calificada como grave a efectos de prescripción en el artículo 73.
  2. l)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD); y una multa de 5.000 euros (cinco mil euros) por una infracción del artículo 58.1 del RGPD, tipificada en el artículo 83.5.
  3. e)del citado RGPD, y calificada como muy grave en el artículo 72.1.ñ) y
  4. o)de la LOPDGDD. Dicha resolución, que fue notificada a la parte recurrente en fecha 05/04/2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00668/2022, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: La entidad Naturgy suscribió un contrato con la entidad GESTERPOOL, de fecha 01/01/2021, en virtud del cual está última entidad se obligaba a la prestación de servicios de asesoría y apoyo comercial y técnico para la captación de clientes, incluida la realización de acciones de venta telefónica, interviniendo la misma en estas acciones bajo la condición de encargada del tratamiento. Ambas entidades suscribieron una Adenda, de fecha 01/07/2021, por la que se modifican algunas cláusulas del Contrato; y un Contrato de Encargo de Tratamiento, también de fecha 01/07/2021. En todos estos documentos se estipula que GESTERPOOL no podrá subcontratar los derechos y obligaciones derivadas del contrato sin la autorización expresa, previa y escrita de Naturgy. En el Contrato de Encargo de Tratamiento se indica que GESTERPOOL deberá comunicar a Naturgy, con una antelación mínima de un mes, los datos del tercero con el que pretenda subcontratar y la descripción del servicio en concreto que será objeto de la subcontratación, a fin de que pueda oponerse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 SEGUNDO: La parte reclamante ha manifestado que, con fecha 02/11/2021, recibió una llamada telefónica en nombre de Naturgy en la que se le ofrecieron descuentos en los suministros de luz y gas. TERCERO: Con fecha 02/11/2021, la parte reclamante suscribió digitalmente un “Contrato de suministro dual y servicios” formalizado a su nombre, que incluye la orden de domiciliación de adeudos. La firma digital de este documento está certificada por una entidad tercera debidamente inscrita en el Registro de Operadores de Red, la cual actúa en su condición de Tercera Parte de Confianza. CUARTO: La parte reclamante tramitó ante Naturgy el desistimiento de la contratación, el cual fue atendido por dicha entidad el 04/11/2021 sin haber llegado a activar los servicios. QUINTO: Naturgy ha manifestado que la contratación de sus servicios por la parte reclamante fue realizada con la intervención de Callsisten Energy, S.L., entidad subcontratada por GESTERPOOL sin el consentimiento ni conocimiento de Naturgy. SEXTO: Naturgy ha declarado ante esta Agencia que ha revocado todos los accesos de GESTERPOOL a la herramienta de contratación y ha puesto fin a la relación contractual con ésta, al no haber seguido sus instrucciones e incumplido las obligaciones impuestas para garantizar la calidad en la contratación. SÉPTIMO: La entidad Telefónica Móviles España, S.A.U., operador del número de línea de la parte reclamante ***TELÉFONO.1, confirmó la recepción en esta línea móvil de una llamada realizada desde la línea ***TELÉFONO.2 el día 02/11/2021. OCTAVO: La entidad Orange Espagne, S.A.U., operadora de la línea ***TELÉFONO.2, informó que la titularidad de esta línea corresponde a la entidad Callsisten Energy, S.L., con NIF B01866565. Aportó, asimismo, detalles de la realización de una llamada desde esta línea, el 02/11/2021, al número de línea móvil de la parte reclamante, con una duración de 1614 segundos. NOVENO: Con fecha 19/08/2022, los Servicios de Inspección de la AEPD remitieron a la entidad GESTERPOOL un requerimiento de información, que consta entregado el 25 del mismo mes. Ante la falta de respuesta, se envió un nuevo requerimiento en fecha 30/09/2022, que también fue entregado a GESTERPOOL el 10/10/2022, sin que esta entidad haya aportado respuesta alguna”. TERCERO: Dentro del plazo establecido para la interposición de recurso de reposición, con fecha 04/05/2023, GESTERPOOL ha presentado ante esta Agencia un escrito “en relación a una resolución recibida” y dice presentar “alegación en tiempo y plazo establecidos”. En dicho escrito solicita la “cancelación del expediente sancionador”. Basa su petición en las consideraciones siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 . La realización de llamadas en nombre de Naturgy y los procedimientos seguidos por GESTERPOOL eran conocidos y autorizados por dicha entidad, la cual tenía acceso a todas las grabaciones de los contratos tramitados, incluido el que nos ocupa, sobre el cual fue grabada la aceptación, no el proceso de venta, según las exigencias de Naturgy (dice adjuntar copia de la grabación, pero el escrito presentado no acompaña documentación alguna). En relación con dicha contratación, añade que la llamada motiva al envío de un SMS por una empresa externa a GESTERPOOL, que no menciona. GESTERPOOL manifiesta, asimismo, que todo se hacía con el conocimiento de Naturgy, que asignaba el código individual a cada operador para posibilitar el acceso al sistema de contratación. Finalmente, en relación con Callsisten Energy, S.L., se limita a señalar que esta entidad proporcionó la información solicitada por Naturgy sobre el origen de la información del cliente al que se realizó la llamada. FUNDAMENTOS DE DERECHO I Competencia Con carácter preliminar, debe señalarse que el nuevo escrito presentado por el recurrente no ha sido calificado como recurso de reposición. No obstante, el apartado 2 del artículo 115 de la LPACAP, establece que el error o la ausencia de la calificación del recurso por parte del recurrente no será obstáculo para su tramitación, siempre que se deduzca su verdadero carácter, por lo que el escrito presentado se tramitará como un recurso de reposición. En este caso, según lo expuesto, es claro que el escrito se presenta por GESTERPOOL como respuesta a la resolución, indicando expresamente que se respetan los plazos establecidos. Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por GESTERPOOL, debe señalarse que ninguna de ellas guarda relación con las circunstancias de hecho que han determinado las infracciones sancionadas en la Resolución recurrida, tal como se transcribe a continuación: <<II Obligación incumplida. Encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 El artículo 28 del RGPD, “Encargado del tratamiento”, establece: “1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  5. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  6. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  7. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  8. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  9. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  10. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  11. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  12. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  13. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. (…) 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. (…)”. Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del Reglamento o de la LOPDGDD por parte del responsable o el encargado del tratamiento. De acuerdo con lo establecido en el artículo 28 RGPD, el responsable y el encargado de tratamiento de datos deben regular el tratamiento de datos en un contrato u acto jurídico que vincule al encargado respecto al responsable; ese contrato o acto jurídico deberá establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, las obligaciones y derechos del responsable, etc. El encargado del tratamiento, a su vez, podrá recurrir a otro encargado (“subencargado”) siempre que disponga de autorización previa por escrito del responsable del tratamiento, ya sea una autorización específica o general. En estos casos, se impone al encargado la obligación de informar al responsable de los cambios en la incorporación o sustitución de otros encargados, a fin de que dicho responsable pueda oponerse a tales cambios. La relación que vincule al responsable del tratamiento y al encargado, o a éste y a otro encargado, deberá formalizarse por escrito, inclusive en formato electrónico. En ambos casos deberán imponerse al encargado o “subencargado” las mismas obligaciones a que se refiere el apartado 3 del artículo 28 transcrito. En el presente caso, se formula reclamación por la realización de una llamada comercial a la línea de telefonía móvil de la parte reclamante que tenía por objeto ofrecer los servicios de la entidad Naturgy (esta oferta comercial fue aceptada por la parte reclamante, si bien desistió de la misma dos días después de la aceptación). Las actuaciones desarrolladas han acreditado que dicha llamada tuvo lugar y que fue realizada por la entidad Callsisten Energy, S.L., desde una línea de telefonía de su titularidad, en fecha 02/11/2021, según los detalles que constan reseñados en los Hechos Probados Séptimo y Octavo. A este respecto, la entidad Naturgy informó inicialmente que la llamada comercial se realizó por un agente de la entidad GESTERPOOL, que presta a Naturgy servicios de asesoría y apoyo comercial y técnico para la captación de clientes, incluyendo la realización de acciones de venta telefónica, interviniendo como encargada del tratamiento en virtud del contrato de servicios formalizado por ambas entidades en fecha 01/01/2021. No obstante, Naturgy trasladó posteriormente a la AEPD el resultado de la auditoría realizada sobre el caso suscitado por la parte reclamante, dando cuenta de la información que le fue facilitada por GESTERPOOL, según la cual esta última entidad reconoció que la llamada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 telefónica indicada fue realizada por la entidad Callsisten Energy, S.L., subcontratada con tal fin por GESTERPOOL. Naturgy ha manifestado al respecto que no conocía esta subcontratación y que la misma se realizó sin su consentimiento, a pesar de que el Contrato de Servicios y el Contrato de Encargo del Tratamiento celebrados entre Naturgy y GESTERPOOL prohíben expresamente a GESTERPOOL la subcontratación de trabajos sin la aprobación previa y por escrito de Naturgy, según consta en las estipulaciones contractuales que constan reseñadas en los antecedentes de este acuerdo y en el Hecho Probado Primero. En consecuencia, en virtud de cuanto antecede, se considera que los hechos expuestos vulneran lo dispuesto en el artículo 28 del RGPD por parte de la entidad GESTERPOOL, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. III Obligación incumplida. Entrega de información a los Servicios de Inspección. Por otra parte, consta acreditado que GESTERPOOL no ha procurado a la Agencia Española de Protección de Datos la información que le fue requerida por los Servicios de Inspección mediante escritos de 19/08/2022 y 30/09/2022, los cuales fueron debidamente notificados a dicha entidad. Con esta conducta, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada. Por tanto, GESTERPOOL ha vulnerado el artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá de todos los poderes de investigación indicados a continuación: “
  14. a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
  15. b)llevar a cabo investigaciones en forma de auditorías de protección de datos;
  16. c)llevar a cabo una revisión de las certificaciones expedidas en virtud del artículo 42, apartado 7;
  17. d)notificar al responsable o al encargado del tratamiento las presuntas infracciones del presente Reglamento;
  18. e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos personales y a toda la información necesaria para el ejercicio de sus funciones;
  19. f)obtener el acceso a todos los locales del responsable y del encargado del tratamiento, incluidos cualesquiera equipos y medios de tratamiento de datos, de conformidad con el Derecho procesal de la Unión o de los Estados miembros”. Este incumplimiento da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. IV Tipificación y calificación de las infracciones El incumplimiento de lo dispuesto en el artículo 28 del RGPD supone la comisión por GESTERPOOL de una infracción tipificada en el apartado 4.
  20. a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  21. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;”. A este respecto, la LOPDGDD establece en su artículo 71 que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  22. l)La contratación por un encargado del tratamiento de otros encargados sin contar con la autorización previa del responsable, o sin haberle informado sobre los cambios producidos en la subcontratación cuando fueran legalmente exigibles. (…)”. Por otra parte, el incumplimiento de lo establecido en el artículo 58.1 del RGPD es constitutivo de una infracción tipificada en el apartado 5.
  23. e)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  24. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1”. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.
  25. o)La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente”. V Poderes correctivos Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  26. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13
  27. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
  28. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
  29. d)anterior es compatible con la sanción consistente en multa administrativa. VI Sanción La infracción de lo establecido en el artículo 28 del RGPD puede ser sancionada con multa de 10.000.000 € como máximo o, tratándose de una empresa, con multa de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD. La infracción de lo establecido en el artículo 58.1 del RGPD puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, con multa de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Con respecto a las infracciones indicadas, atendiendo a los hechos expuestos, se considera que la sanción que corresponde imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de microempresa de la parte reclamada y su volumen de negocio (consta en las actuaciones (…)). A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, precepto que señala: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  30. a)a
  31. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  32. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  33. b)la intencionalidad o negligencia en la infracción;
  34. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  35. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  36. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  37. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  38. g)las categorías de los datos de carácter personal afectados por la infracción;
  39. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13
  40. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  41. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  42. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  43. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  44. a)El carácter continuado de la infracción.
  45. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  46. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  47. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  48. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  49. f)La afectación a los derechos de los menores.
  50. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  51. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos indicados, a efectos de fijar los importes de las sanciones a imponer en el presente caso, se considera que procede graduar dichas sanciones de acuerdo con los siguientes criterios: 1. Infracción del artículo 28 del RGPD, tipificada en el 83.4.
  52. a)del citado RGPD, y calificada como grave a efectos de prescripción en el artículo 73.
  53. l)del RGPD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  54. a)del RGPD: “
  55. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . El número de interesados: la infracción afecta a todos los interesados que sean objeto de las campañas comerciales que haya ejecutado la entidad subcontratada por GESTERPOOL. . Artículo 83.2.
  56. b)del RGPD: “
  57. b)la intencionalidad o negligencia en la infracción". En este supuesto la negligencia de GESTERPOOL debe calificarse de “grave” por cuanto su conducta supone el incumplimiento de las cláusulas estipuladas expresamente en el contrato que suscribió con Naturgy. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se trata de una empresa que realiza tratamientos de datos personales de manera sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. Entiende esta Agencia que la diligencia tiene que deducirse de hechos concluyentes, que consten debidamente acreditados y directamente relacionados con los elementos que configuran la infracción, de tal modo que pueda deducirse que la misma se ha producido a pesar de todos los medios dispuestos por el responsable para evitarla. En este caso, la actuación de GESTERPOOL no tiene este carácter. . Artículo 76.2.
  58. b)de la LOPDGDD: “
  59. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales. Se considera la actividad que desarrolla, en la que se ven implicados datos personales de numerosos interesados. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de la responsabilidad de la entidad reclamada en relación con el tratamiento de los datos. Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 28 del RGPD, es de 10.000 euros (diez mil euros). 2. Infracción del artículo 58.1 del RGPD, tipificada en el 83.5.
  60. e)del citado RGPD, y calificada como muy grave a efectos de prescripción en el artículo 72.1.ñ) y
  61. o)del RGPD: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  62. b)del RGPD: “
  63. b)la intencionalidad o negligencia en la infracción". En este supuesto la negligencia de GESTERPOOL debe calificarse de “grave”, considerando las circunstancias ya señaladas en el apartado 1 anterior. Se tiene en cuenta, además, que el incumplimiento de la obligación de facilitar información a la autoridad de control se produce en relación con dos requerimientos de información que le fueron remitidos por los Servicios de Inspección de esta Agencia. . Artículo 76.2.
  64. b)de la LOPDGDD: “
  65. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. Según las circunstancias expresadas en el apartado 1 anterior. Considerando los factores expuestos, la valoración que alcanza la multa, por la infracción del artículo 28 del RGPD, es de 5.000 euros (cinco mil euros). VII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 Adopción de medidas Confirmada la infracción, es preciso determinar si procede o no imponer a GESTERPOOL la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el artículo 58.2
  66. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En este caso, la entidad Naturgy ha declarado haber puesto fin a la relación contractual que había suscrito con GESTERPOOL, a la que ha revocado todos los accesos a la herramienta de contratación, al no haber seguido sus instrucciones e incumplido las obligaciones impuestas. En base a ello, no procede imponer a GESTERPOOL la obligación de adoptar medidas adicionales a la sanción de multa>>. III Conclusión Según queda fundamentado en la resolución impugnada, se sanciona a GESTERPOOL por una infracción del artículo 28 del RGPD, por el hecho de haber utilizado los servicios de una entidad externar, como subcontratada, para la ejecución de los servicios que GESTERPOOL estaba obligada a prestar a Naturgy en virtud del contrato suscrito por ambas entidades, que no contemplaba la posibilidad de llevar a cabo dicha subcontratación. La contratación de una entidad tercera por GESTERPOOL se llevó a cabo sin la debida autorización de Naturgy. Por otro lado, se impone multa a GESTERPOOL por no haber atendido las solicitudes de información que le fueron cursadas por los Servicios de Inspección de esta Agencia en dos ocasiones. Ambas solicitudes fueron debidamente entregadas a GESTERPOOL, que no dio respuesta alguna a las mismas. A ninguna de estas cuestiones hace referencia GESTERPOOL en su escrito de recurso, en el que sí reconoce la intervención de aquella entidad tercera en la contratación de los servicios de Naturgy por la parte reclamante. En este escrito, dicha entidad se limita a señalar que consta la grabación de esta contratación y que todo se hacía con el conocimiento de Naturgy, pero sin aportar nada que así lo acredite. Debe significarse, por otra parte, que GESTERPOOL no presentó ningún escrito de alegaciones ni prueba alguna durante la tramitación del procedimiento sancionador que dio lugar a la resolución impugnada, a pesar de que se le concedió plazo para ello en dos ocasiones, como motivo de la apertura del procedimiento y al serle notificada la propuesta de resolución elaborada por el instructor. En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por GESTERPOOL, S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 4 de abril de 2023, en el expediente EXP202105473. SEGUNDO: NOTIFICAR la presente resolución a GESTERPOOL, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  67. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  68. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.