Veri İhlali Yaptırımında Gönüllü Ödeme

1/24

 Expediente N.º: EXP202213323

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 4 de diciembre de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a SHANGHAI
MOONTON TECHNOLOGY CO. LTD (en adelante, la parte reclamada), mediante el
Acuerdo que se transcribe:

Expediente N.º: EXP202213323

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Con fecha 21 de noviembre de 2022, se notificó a esta Agencia una
violación de la seguridad de los datos personales remitido por SHANGHAI MOONTON
TECHNOLOGY CO. LTD con NIF en China 91310101091821567U (en adelante,
MOONTON) como responsable del tratamiento. Como consecuencia de los hechos
conocidos, con fecha 12 de diciembre de 2022, la Directora de la Agencia Española de
Protección de Datos ordenó realizar las oportunas investigaciones previas con el fin de
determinar una posible vulneración de la normativa de protección de datos.

En el escrito recibido se informaba de lo siguiente:

o Fecha de inicio de la brecha: 02/11/2022.

o Fecha de detección de la brecha: 04/11/2022.

o Los datos no están cifrados.

o Resumen del incidente: “(…)”

o Categoría de datos afectados: datos de contacto y datos de perfiles.

o Categoría de afectados: usuarios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/24

o Número de afectados: 839 en España. Más de 20.000 afectados en
todos los Estados de la Unión, se ha notificado a todas las Autoridades
de Control de la Unión.

o No se ha puesto en conocimiento de autoridades policiales.

o Los afectados no serán comunicados.

SEGUNDO: Con fecha 29 de diciembre de 2022, MOONTON realizó una notificación
adicional de la violación de la seguridad de los datos personales, en la que
manifestaba:

“Tal y como se indicó en la notificación inicial, Shanghai Moonton Technology Co. Ltd
("Moonton") sufrió, el 2 de noviembre de 2022, una violación de la seguridad de sus
datos al publicarse cierta información relacionada con los usuarios de su Foro en una
página web tercera. (…)”

TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

1) MOONTON es un desarrollador y editor de videojuegos de nacionalidad china con
sede en Shanghai. Según datos obrantes en la página web de MOONTON y
https://hmong.es/wiki/Moonton, MOONTON fue fundada en 2014 y es conocida por el
juego “Mobile Legends: Bang Bang”, juego multijugador online lanzado en 2016. El 22
de marzo de 2021, el desarrollador de Tik Tok, BABE, Resso y Lark, ByteDance, a
través de su filial de videojuegos Nuverse, adquirió MOONTON.

2) En fecha 21 de marzo de 2023 tuvo entrada en el registro de la AEPD respuesta
inicial a un requerimiento de la APED, número de registro ***REGISTRO.1, y en fecha
27 de marzo de 2023 documentación complementaria, números de registro
***REGISTRO.2 y ***REGISTRO.3. En fechas 17 y 22 de mayo de 2023 tiene entrada
de nuevo en el registro de la AEPD documentación de MOONTON ya presentada
anteriormente.

En fecha 12 de junio de 2023 esta Agencia solicita información adicional. En fecha 7
de julio de 2023 tiene entrada en el registro de la AEPD la respuesta de MOONTON a
este requerimiento, número de registro ***REGISTRO.4.

Una vez revisada la documentación aportada por MOONTON se extrae la siguiente
información relevante:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/24

Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar
los efectos adversos y medidas adoptadas para su resolución final

- 2 de noviembre de 2022: Fecha de publicación de los datos personales de los
miembros del Foro en un sitio web de un tercero (***URL.1) (el “Sitio Web”).

- 3 de noviembre de 2022: Fecha en la que un miembro del equipo de seguridad
de la Sociedad, mientras ejercía sus labores de monitorización y salvaguarda
de la seguridad de la información de la compañía y sus usuarios, identificó la
publicación de los datos en el Sitio Web.

(…)

- 4 de noviembre de 2022 a 16 de noviembre de 2022: La Sociedad continuó
con la investigación de la violación de la seguridad de los datos para concretar
el alcance de la misma y determinar las medidas adicionales que la Sociedad
podría implementar para limitar cualquier daño o perjuicio que los usuarios
afectados puedan sufrir. En ese sentido, el 4 de noviembre de 2022 la
Sociedad confirmó que algunos de los usuarios afectados por la violación se
encontraban localizados en el Espacio Económico Europeo.

(…)

Respecto de las causas que hicieron posible la violación de la seguridad de los datos
personales

(…)

Respecto de los datos afectados

(…)

Estas categorías de datos incluían: (i) nombre de usuario en el Foro y el número de
identificación de usuario (User ID); (ii) el número de visitas de los usuarios a los
espacios de usuario (user space) del Foro; (iii) el sexo declarado por los usuarios (p.ej.
masculino, femenino o secreto); y (iv) la actividad en el Foro, lo que incluye la
“reputación”, “riqueza” y “contribución” al Foro, todo ello vinculado a las publicaciones
de los usuarios, la participación en el foro y las interacciones entre usuarios.

Cabe destacar que la única información no pública para todos los usuarios del Foro
(…), era: (i) la dirección del email dada por los usuarios para registrarse en el Foro; (ii)
la fecha de registro en el Foro; (iii) la fecha y hora de la última actividad de cada
usuario en el Foro; y (iv) la dirección IP del usuario (tanto la dirección IP de registro
como la dirección IP de la última visita).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/24

(…)

MOONTON manifiesta que el número total de usuarios del Foro a nivel mundial es de,
aproximadamente, 800.670 usuarios. Y añade que le interesa clarificar que, pese a
que en las notificaciones de la brecha enviadas a la AEPD se indicó que 839 usuarios
del Foro ubicados en España se habían visto afectados por el incidente, tras las
últimas investigaciones ha confirmado que el número total de usuarios ubicados en
España afectados es de 442. La Sociedad ha determinado esta cantidad tras analizar
las direcciones IP asociadas con las cuentas afectadas por la brecha. La Sociedad no
recaba datos de sus usuarios relativos a su nacionalidad o país de nacimiento.

Asimismo, manifiesta que identificó la localización de todos los interesados afectados
por la brecha y que procedió a notificarla a todas las autoridades de control
correspondientes.

En resumen, los datos que se han visto afectados son los datos relativos al nombre del
usuario del Foro e ID de usuario (estos datos son públicos en el propio Foro), así como
la dirección de email y la dirección IP.

Medidas de seguridad implantadas

- Medidas de seguridad implantadas con anterioridad a la brecha en los
tratamientos de datos donde se ha producido.

(…)

- Motivo por el cual las medidas de seguridad implantadas no han impedido el
incidente.

(…)

- Medidas técnicas y organizativas adoptadas para evitar, en lo posible,
incidentes como el sucedido.

(…)

Respecto de la notificación con posterioridad a las 72 horas

MOONTON manifiesta que la Sociedad tuvo conocimiento de la violación de la
seguridad de los datos de seguridad el día 3 de noviembre de 2022, iniciando en ese
momento una investigación interna con el objetivo de identificar el alcance e impacto
de esta sobre los derechos y libertades de los interesados afectados.

Aunque el día 4 de noviembre de 2022 la Sociedad ya tuvo conocimiento de que
varios usuarios localizados en el Espacio Económico Europeo habían podido verse
afectados, continuó con sus investigaciones hasta el día 16 de noviembre para
confirmar la naturaleza del incidente, su alcance y el número de interesados afectados
en cada Estado Miembro. Sin perjuicio de lo anterior, conforme iba obteniendo y
verificando la información obtenida en el marco de la investigación, así como
identificando el número de usuarios afectados en cada jurisdicción, la Sociedad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/24

procedía a notificar la violación de la seguridad de los datos a las autoridades de
control competentes y a bloquear el acceso al Foro en dichas jurisdicciones. En este
sentido, la Sociedad comenzó a notificar el incidente a las autoridades de control
competente el día 11 de noviembre de 2022.

Añade, cabe destacar que la Sociedad no tiene un establecimiento legal en España,
por lo que, antes de poder realizar la correspondiente notificación ante la AEPD, ha
tenido que contactar y contratar a un asesor legal que sí se encuentre ubicado en este
país (así ha ocurrido también en el resto de los 27 Estados de la Unión Europea) para
poder preparar la debida notificación y recabar la información requerida por cada
autoridad de control. Esto incluyó la preparación de la documentación necesaria para
que el asesor legal en España pudiera realizar la presentación de la notificación
pertinente ante la AEPD, lo que provocó retraso en el envío de la notificación a la
AEPD.

MOONTON manifiesta que la Sociedad no cuenta, por no estar obligada a ello, con un
certificado digital a través del cual poder acceder a la Sede Electrónica de la AEPD y
realizar la correspondiente notificación por lo que la misma tuvo que realizarse a través
de correo postal (aunque se intentó realizar la misma a través de correo electrónico).

Información sobre la recurrencia de estos hechos y número de eventos análogos
acontecidos en el tiempo

MOONTON manifiesta que no tiene conocimiento de ningún incidente o violación de la
seguridad de los datos que se haya producido con anterioridad a la notificada a la
AEPD y no ha recibido, hasta la fecha, reclamación o solicitud alguna de interesados
en España en relación con esta violación de la seguridad de los datos.

Tampoco ha identificado ninguna otra publicación o divulgación no autorizada de datos
personales de los usuarios del Foro.

3) El 16 de octubre de 2023, en respuesta a requerimiento de esta Agencia,
MOONTON ha manifestado que ha designado como representante en la Unión
Europea a la compañía ***EMPRESA.1, con sede en Irlanda el 25 de enero de 2023,
en cumplimiento del artículo 27 del RGPD.

FUNDAMENTOS DE DERECHO

I
Competencia y procedimiento

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/24

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que MOONTON
realizaba la recogida y conservación de, entre otros, los siguientes datos personales
de personas físicas: correo electrónico y dirección IP, entre otros tratamientos.

MOONTON realizaba esta actividad en su condición de responsable del tratamiento,
dado que era quien determinaba los fines y medios de tal actividad, en virtud del
artículo 4.7 del RGPD.

III
Minimización de datos

El artículo 5.1.c) del RGPD “Principios relativos al tratamiento” establece:

“1. Los datos personales serán:
(…)
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines
para los que son tratados («minimización de datos»); (…)”

En el presente caso, MOONTON había dado acceso a los Moderadores a los
siguientes datos personales de los usuarios ubicados en España del Foro: (i) nombre
de usuario en el Foro y el número de identificación de usuario (User ID); (ii) el número
de visitas de los usuarios a los espacios de usuario (user space) del Foro; (iii) el sexo
declarado por los usuarios (p.ej. masculino, femenino o secreto); y (iv) la actividad en
el Foro, lo que incluye la “reputación”, “riqueza” y “contribución” al Foro, todo ello
vinculado a las publicaciones de los usuarios, la participación en el foro y las
interacciones entre usuarios.

Si bien MOONTON ha destacado que la única información no pública para todos los
usuarios del Foro a la que los moderadores tenían acceso, era: (i) la dirección del
email dada por los usuarios para registrarse en el Foro; (ii) la fecha de registro en el
Foro; (iii) la fecha y hora de la última actividad de cada usuario en el Foro; y (iv) la
dirección IP del usuario (tanto la dirección IP de registro como la dirección IP de la
última visita).

La finalidad para la que se había dado acceso a los Moderadores a tales datos era
moderar los Foros de los juegos de MOONTON, para lo cual MOONTON les había
otorgado permisos de administrador que les permitían tener acceso a esta información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/24

relativa a los usuarios del Foro para poder llevar a cabo, principalmente, las labores de
moderación de las conversaciones, lo que implicaba, por ejemplo: (i) la revisión y
eliminación de publicaciones; (ii) el bloqueo o eliminación de acceso al Foro de ciertos
usuarios; (iii) la respuesta a consultas que realizaban los usuarios; y (iv) la aprobación
de solicitudes de registro de nuevos usuarios en el Foro.

Al respecto, esta Agencia considera que para poder moderar tales Foros y eliminar las
publicaciones de los usuarios o impedir el acceso al Foro, y revisar la respuesta a las
consultas o aprobar nuevos usuarios, no era necesario que los Moderadores tuvieran
acceso a toda esa información, en especial, la dirección de correo electrónico y la
dirección IP del usuario. Es opinión de que estos datos no resultaban pertinentes para
realizar tales labores y tampoco estaban estrictamente limitados a los fines para los
que se trataban.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de
la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a MOONTON, por vulneración del artículo transcrito
anteriormente.

IV
Tipificación y calificación de la infracción del artículo 5.1.c) del RGPD

De confirmarse, la citada infracción del artículo 5.1.c) del RGPD podría suponer la
comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo
la rúbrica “Condiciones generales para la imposición de multas administrativas”
dispone:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy
grave la siguiente conducta:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/24

V
Propuesta de sanción por la infracción del artículo 5.1.c) del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
los siguientes criterios que establece el artículo 83.2 del RGPD:

Como agravantes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (apartado a): por haber otorgado acceso a los
Moderadores de los Foros a más datos de los estrictamente necesarios para
desempeñar su labor, lo cual afectó a los datos personales de, como mínimo,
442 interesados, al menos hasta el 11 de noviembre de 2022.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:

Como agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales (apartado b): la actividad de MOONTON requiere un
tratamiento habitual de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.c) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 30.000 euros.

VI
Integridad y confidencialidad

El artículo 5.1.f) del RGPD “Principios relativos al tratamiento” establece:

“1. Los datos personales serán:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/24

(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»). (…)”

En el presente caso, se han publicado en una página web de un tercero los datos de
nombre del usuario e ID de usuario, dirección de email y dirección IP de 442 usuarios
ubicados en España.

VII
Tipificación y calificación de la infracción del artículo 5.1.f) del RGPD

De confirmarse, la citada infracción del artículo 5.1.f) del RGPD podría suponer la
comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo
la rúbrica “Condiciones generales para la imposición de multas administrativas”
dispone:

A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy
grave la siguiente conducta:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

VIII
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/24

Propuesta de sanción por la infracción del artículo 5.1.f) del RGPD

Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
los siguientes criterios que establece el artículo 83.2 del RGPD:

Como agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales (apartado b): la actividad de MOONTON requiere un
tratamiento habitual de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 30.000 euros.

IX
Medidas de seguridad

El Artículo 32 “Seguridad del tratamiento” del RGPD establece:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a)la seudonimización y el cifrado de datos personales;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/24

b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales
de forma rápida en caso de incidente físico o técnico;
d)un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

En el presente caso, MOONTON contaba con un rol de moderador para,
precisamente, moderar las discusiones que se encontrasen activas en los Foros de
sus juegos.
En este sentido, por ejemplo, se encargaba de revisar y/o eliminar publicaciones,
bloquear el acceso al Foro de aquellos usuarios que incumplían sus normas,
responder a preguntas de los usuarios, aprobar solicitudes de registro, entre otras.
Para ello, MOONTON le había otorgado al Moderador derechos de administrador que
le permitían acceder a los siguientes datos de los usuarios del Foro: (i) nombre de
usuario en el Foro y el número de identificación de usuario (User ID); (ii) el número de
visitas de los usuarios a los espacios de usuario (user space) del Foro; (iii) el sexo
declarado por los usuarios (p.ej. masculino, femenino o secreto); y (iv) la actividad en
el Foro, lo que incluye la “reputación”, “riqueza” y “contribución” al Foro, todo ello
vinculado a las publicaciones de los usuarios, la participación en el foro y las
interacciones entre usuarios.

El Moderador no tenía la condición de empleado de MOONTON, ni era un empleado
de un prestador de servicios/subcontratista de MOONTON. El Moderador era un mero
usuario del Foro que, voluntariamente, se ofreció a ayudar a moderar el Foro.

MOONTON exigió al Moderador que se adhiriese al Código de Conducta para
Proveedores de Servicios Externos en su calidad de moderador. Este Código se ponía
a disposición de todos los moderadores, los cuales, en su condición de usuarios del
Foro, también habrían tenido que adherirse a la Regulación Básica del Foro y a los
Términos y Condiciones del Foro.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/24

En el documento “Código de Conducta para Proveedores de Servicios Externos de la
Sociedad” de MOONTON (en su traducción al español) se indica, entre otros, que:
“Los Proveedores de Servicios deberán realizar sus máximos esfuerzos para
proteger… la información confidencial (incluidos, sin carácter limitativo, los datos de
carácter personal) de Moonton y de sus clientes, debiendo abstenerse de ponerlos en
conocimiento de terceros sin el previo consentimiento por escrito de Moonton, así
como de usarlos o explotarlo para fines que no estén relacionados con la prestación
del servicio” (punto 3.2 del documento).

Y que: “Moonton está comprometido con la protección y la seguridad de su
información… Las siguientes actuaciones constituirán incumplimiento de las
obligaciones en materia de seguridad de la información de Moonton, cuyo
incumplimiento será objeto de medidas disciplinarias de distinto grado en función de la
gravedad. En caso de infracción de la ley, Moonton también colaborará con las
autoridades judiciales competentes en las acciones legales que correspondan.
(…) e) Adquirir, desvelar o vender datos personales o estadísticas de usuarios, socios
de clientes u otros grupos de interés por medios indebidos o aprovechar su posición
para violar la privacidad de terceros” (punto 3.3 del documento).

Para convertirse en moderador, el Moderador rellenó un formulario de solicitud puesto
a disposición de los usuarios por parte de MOONTON que posteriormente fue
analizado por la Sociedad. Una vez aprobada la solicitud, el Moderador entró en un
período de prueba de dos semanas, tras las cuales se convirtió en un moderador del
Foro. Este procedimiento era común para todos los usuarios que deseaban ejercer
como moderadores.

Es decir, que MOONTON permitió el acceso a un usuario de sus juegos (a quien se le
dio permisos de administrador) a los datos personales de otros usuarios ubicados en
España, que no era empleado suyo ni de una empresa contratada o subcontratada por
MOONTON, y al que se le facilitó los datos de correo electrónico y dirección IP de
tales usuarios, sin más medidas de seguridad que una simple adhesión a un Código
de Conducta y a la Regulación Básica del Foro y los Términos y Condiciones del
mismo y un período de prueba de dos semanas.

Al respecto, esta Agencia considera que tales medidas implantadas con anterioridad a
producirse la violación de la seguridad de los datos personales resultaban a todas
luces insuficientes y no pueden considerarse adecuadas en los términos del artículo
32 RGPD.

No obstante, una vez que MOONTON tuvo constancia de que el Moderador había
publicado los datos de otros usuarios del Foro en un sitio web tercero, procedió a
bloquear su acceso al Foro y, adicionalmente, le informó de que su acceso al Foro
había sido cancelado como consecuencia de la publicación no autorizada.

Asimismo, MOONTON ha decidido deshabilitar permanentemente el Foro en todo el
Espacio Económico Europeo. Para la toma de esta decisión, entre otros motivos, se ha
tenido en cuenta el incidente ocurrido, los riesgos que puede suponer su continuidad
para los derechos y libertades de los interesados localizados en la Unión Europea en
relación con el negocio y actividad de la Sociedad, así como el hecho de que los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/24

beneficios empresariales de gestionar este Foro no compensan los recursos
necesarios para su mantenimiento. Y manifestó que el acceso al Foro seguirá
bloqueado para los usuarios de la Unión Europea hasta que se produzca su cierre total
y permanente durante el mes de abril de 2023.

X
Tipificación y calificación de la infracción del artículo 32 del RGPD

De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la
comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo
la rúbrica “Condiciones generales para la imposición de multas administrativas”
dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los dos años, conforme al artículo 73 de la LOPDGDD, que califica de
grave la siguiente conducta:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)
f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo
del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento
(UE) 2016/679.

XI
Propuesta de sanción por la infracción del artículo 32 del RGPD

Esta infracción puede ser sancionada con multa de 10.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2% como máximo del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/24

volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD.

Como agravantes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (apartado a): por no tener implantadas las medidas
de seguridad apropiadas al riesgo de que se produjera una violación de la
seguridad de los datos personales como la que ha tenido lugar en el presente
caso, que permitió que la confidencialidad de los datos de datos de nombre del
usuario e ID de usuario, dirección de email y dirección IP de 442 usuarios
ubicados en España se viera en riesgo.

Como atenuantes:

- Cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción (apartado k): una vez que
MOONTON tuvo constancia de que el Moderador había publicado los datos de
otros usuarios del Foro en un sitio web tercero, procedió a bloquear su acceso
al Foro y, adicionalmente, le informó de que su acceso al Foro había sido
cancelado como consecuencia de la publicación no autorizada. Asimismo,
MOONTON ha decidido deshabilitar permanentemente el Foro en todo el
Espacio Económico Europeo, hasta su cierre total y permanente durante el mes
de abril de 2023.

Como agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales (apartado b): la actividad de MOONTON requiere un
tratamiento habitual de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 15.000 euros.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/24

XII
Notificación a la autoridad de control

El Artículo 33 “Notificación de una violación de la seguridad de los datos personales a
la autoridad de control” del RGPD establece:

“1. En caso de violación de la seguridad de los datos personales, el responsable del
tratamiento la notificará a la autoridad de control competente de conformidad con el
artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de
que haya tenido constancia de ella, a menos que sea improbable que dicha violación
de la seguridad constituya un riesgo para los derechos y las libertades de las personas
físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72
horas, deberá ir acompañada de indicación de los motivos de la dilación.

2. El encargado del tratamiento notificará sin dilación indebida al responsable del
tratamiento las violaciones de la seguridad de los datos personales de las que tenga
conocimiento.

3. La notificación contemplada en el apartado 1 deberá, como mínimo:
a) describir la naturaleza de la violación de la seguridad de los datos
personales, inclusive, cuando sea posible, las categorías y el número
aproximado de interesados afectados, y las categorías y el número aproximado
de registros de datos personales afectados;
b) comunicar el nombre y los datos de contacto del delegado de protección de
datos o de otro punto de contacto en el que pueda obtenerse más información;
c) describir las posibles consecuencias de la violación de la seguridad de los
datos personales;
d) describir las medidas adoptadas o propuestas por el responsable del
tratamiento para poner remedio a la violación de la seguridad de los datos
personales, incluyendo, si procede, las medidas adoptadas para mitigar los
posibles efectos negativos.

4. Si no fuera posible facilitar la información simultáneamente, y en la medida en que
no lo sea, la información se facilitará de manera gradual sin dilación indebida.

5. El responsable del tratamiento documentará cualquier violación de la seguridad de
los datos personales, incluidos los hechos relacionados con ella, sus efectos y las
medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de
control verificar el cumplimiento de lo dispuesto en el presente artículo.”

En el presente caso, consta que MOONTON ha sufrido una violación de la seguridad
de los datos personales en fecha 2 de noviembre de 2022, de la cual tuvo
conocimiento el 4 de noviembre de 2022 y no ha informado a esta Agencia hasta el 21
de noviembre de 2022, fecha en que se notificó la citada violación de la seguridad, sin
haber acreditado los motivos que justifiquen tal dilación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/24

infracción, imputable a MOONTON, por vulneración del artículo transcrito
anteriormente.

XIII
Tipificación y calificación de la infracción del artículo 33 del RGPD

De confirmarse, la citada infracción del artículo 33 del RGPD podría suponer la
comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo
la rúbrica “Condiciones generales para la imposición de multas administrativas”
dispone:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los dos años, conforme al artículo 73 de la LOPDGDD, que califica de
grave la siguiente conducta:

(…)
r) El incumplimiento del deber de notificación a la autoridad de protección de
datos de una violación de seguridad de los datos personales de conformidad
con lo previsto en el artículo 33 del Reglamento (UE) 2016/679. (…)”

XIV
Propuesta de sanción por la infracción del artículo 33 del RGPD

Esta infracción puede ser sancionada con multa de 10.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.4 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/24

Como agravantes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (apartado a): por no haber comunicado a la
autoridad de protección de datos que se había producido una violación de la
seguridad de los datos personales en el plazo de 72 horas, de la cual tuvo
conocimiento el 4 de noviembre de 2022 y no se notificó hasta el 21 de
noviembre de 2022, sin que pueda apreciarse la existencia de motivos
legítimos que justifiquen dicha dilación

Como agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales (apartado b): la actividad de MOONTON requiere un
tratamiento habitual de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 5.000 euros.

XV
Representantes de responsables del tratamiento no establecidos en la Unión

El Artículo 27 “Representantes de responsables o encargados del tratamiento no
establecidos en la Unión” del RGPD establece:

“1. Cuando sea de aplicación el artículo 3, apartado 2, el responsable o el encargado
del tratamiento designará por escrito un representante en la Unión.

2. La obligación establecida en el apartado 1 del presente artículo no será aplicable:
a) al tratamiento que sea ocasional, que no incluyan el manejo a gran escala
de categorías especiales de datos indicadas en el artículo 9, apartado 1, o de
datos personales relativos a condenas e infracciones penales a que se refiere
el artículo 10, y que sea improbable que entrañe un riesgo para los derechos y
libertades de las personas físicas, teniendo en cuenta la naturaleza, contexto,
alcance y objetivos del tratamiento, o
b) a las autoridades u organismos públicos.

3. El representante estará establecido en uno de los Estados miembros en que estén
los interesados cuyos datos personales se traten en el contexto de una oferta de
bienes o servicios, o cuyo comportamiento esté siendo controlado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/24

4. El responsable o el encargado del tratamiento encomendará al representante que
atienda, junto al responsable o al encargado, o en su lugar, a las consultas, en
particular, de las autoridades de control y de los interesados, sobre todos los asuntos
relativos al tratamiento, a fin de garantizar el cumplimiento de lo dispuesto en el
presente Reglamento.

5. La designación de un representante por el responsable o el encargado del
tratamiento se entenderá sin perjuicio de las acciones que pudieran emprenderse
contra el propio responsable o encargado.”

Por su parte, el artículo 3 “Ámbito territorial” del RGPD dispone:

“(…)
2. El presente Reglamento se aplica al tratamiento de datos personales de interesados
que se encuentren en la Unión por parte de un responsable o encargado no
establecido en la Unión, cuando las actividades de tratamiento estén relacionadas
con:
a) la oferta de bienes o servicios a dichos interesados en la Unión,
independientemente de si a estos se les requiere su pago, o
b) el control de su comportamiento, en la medida en que este tenga lugar en la
Unión. (…)”

En el presente caso, MOONTON se encuentra establecida en China, si bien ofrece sus
servicios a interesados en la Unión Europea, por lo que le resulta de aplicación lo
dispuesto en el artículo 27 del RGPD.

No obstante, MOONTON no había designado representante en la Unión Europea, en
los términos de lo dispuesto en el artículo 27 del RGPD, como mínimo hasta finales de
enero de 2023.

XVI
Tipificación y calificación de la infracción del artículo 27 del RGPD

De confirmarse, la citada infracción del artículo 27 del RGPD podría suponer la
comisión de una de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo
la rúbrica “Condiciones generales para la imposición de multas administrativas”
dispone:

19/24

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los dos años, conforme al artículo 73 de la LOPDGDD, que califica de
grave la siguiente conducta:

(…)
h) El incumplimiento de la obligación de designar un representante del
responsable o encargado del tratamiento no establecido en el territorio de la
Unión Europea, conforme a lo previsto en el artículo 27 del Reglamento (UE)
2016/679. (…)”

XVII
Propuesta de sanción por la infracción del artículo 27 del RGPD

Como agravantes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/24

- La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales (apartado b): la actividad de MOONTON requiere un
tratamiento habitual de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 27 del RGPD, permite fijar inicialmente una sanción de multa administrativa de
10.000 euros.

XVIII
Imposición de medidas

De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2 d)
del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o
encargado del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del presente Reglamento, cuando proceda, de una determinada manera
y dentro de un plazo especificado…”., en la resolución que se adopte, se podrá
requerir a MOONTON para que en el plazo de SEIS MESES notifique a esta Agencia
que ha adoptado las medidas de seguridad adecuadas para ajustar su actuación a la
normativa mencionada en este acto, sin perjuicio de otras que pudieran derivarse de la
instrucción del procedimiento.

La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el artículo 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida, ni, en su
caso, el pago voluntario de las cuantías propuestas eximen de la obligación de
acreditar el cumplimiento de las medidas correctivas propuestas.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SHANGHAI MOONTON
TECHNOLOGY CO. LTD con NIF en China 91310101091821567U, por la presunta
infracción de los artículos 5.1.c) y 5.1.f) del RGPD, tipificadas en el artículo 83.5 del
RGPD, y por la presunta infracción de los artículos 32, 33 y 27 del RGPD, tipificadas
en el artículo 83.4 del RGPD.

SEGUNDO: NOMBRAR como instructora a R.R.R. y, como secretaria, a S.S.S.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/24

artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

TERCERO: INCORPORAR al expediente, a efectos probatorios, la notificación de la
violación de la seguridad de los datos personales, así como los documentos obtenidos
y generados por la Subdirección General de Inspección de Datos en las actuaciones
previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la
instrucción, de multa administrativa de 90.000,00 euros en total, repartidos de la
siguiente forma:

- Por la supuesta infracción del artículo 5.1.c) del RGPD, tipificada en el artículo 83.5
de dicha norma, multa administrativa de cuantía 30.000,00 euros.

- Por la supuesta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo 83.5
de dicha norma, multa administrativa de cuantía 30.000,00 euros.

- Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 de
dicha norma, multa administrativa de cuantía 15.000,00 euros.

- Por la supuesta infracción del artículo 33 del RGPD, tipificada en el artículo 83.4 de
dicha norma, multa administrativa de cuantía 5.000,00 euros.

- Por la supuesta infracción del artículo 27 del RGPD, tipificada en el artículo 83.4 de
dicha norma, multa administrativa de cuantía 10.000,00 euros.

QUINTO: NOTIFICAR el presente acuerdo a SHANGHAI MOONTON TECHNOLOGY
CO. LTD con NIF en China 91310101091821567U, otorgándole un plazo de audiencia
de diez días hábiles para que formule las alegaciones y presente las pruebas que
considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el
número de procedimiento que figura en el encabezamiento de este documento.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 72.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/24

la sanción quedaría establecida en 72.000,00 euros y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 54.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (72.000,00 euros o 54.000,00 euros), deberá hacerlo efectivo
mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado
resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones;
de conformidad con lo establecido en el artículo 64 de la LOPDGDD.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

935-270423
Mar España Martí
Directora de la Agencia Española de Protección de Datos

SEGUNDO: En fecha 2 de enero de 2024, la parte reclamada ha procedido al pago de
la sanción en la cuantía de 72000 euros haciendo uso de una de las dos reducciones
previstas en el Acuerdo de inicio transcrito anteriormente. Por tanto, no ha quedado
acreditado el reconocimiento de responsabilidad.

TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere el
Acuerdo de Inicio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/24

FUNDAMENTOS DE DERECHO

I
Competencia

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/24

De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DECLARAR la terminación del procedimiento EXP202213323, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

SEGUNDO: NOTIFICAR la presente resolución a SHANGHAI MOONTON
TECHNOLOGY CO. LTD.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

937-17112023
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Veri İhlali Yaptırımında Gönüllü Ödeme

Türkçe özet

Hukuki mesele

Sonuç

Karar metni