1/21
Expediente N.º: EXP202307696
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante la parte reclamante) con fecha 26/04/2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra SANTANDER CONSUMER, S.A. con NIF A28122570 (en
adelante la parte reclamada ó SC). Los motivos en que basa la reclamación son los
siguientes: la recepción de publicidad postal a pesar de haberse atendido el derecho
de oposición por parte del reclamado. Junto con el escrito de reclamación se aporta
solicitud remitida a la entidad reclamada; respuesta de 07/03/23 atendiendo el derecho
de oposición y, copia íntegra de la documentación publicitaria recibida, figurando
impresos los datos de la persona reclamante y el código de la campaña publicitaria.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 06/06/2023 se dio traslado de dicha reclamación a la parte
reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo
de un mes, de las acciónes llevadas a cabo para adecuarse a los requisitos previstos
en la normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 07/06/2023
como consta en el acuse de recibo que obra en el expediente.
No es cierto, como se señalaba en el acuerdo de inicio que no se hubiera
producido respuesta por la parte reclamada al requerimiento de información de la
AEPD; el 06/07/2023 se produjo la misma como consta en acuse de recibo,
contestando a las cuestiones planteadas por este organismo.
TERCERO: Con fecha 26/07/2023, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: Con fecha 05/10/2023, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD.
QUINTO: Notificado el acuerdo de inicio el reclamado en fecha 19/10/2023 presentó
escrito solicitando ampliación de plazo y copia del expediente; solicitud que fue
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/21
atendida el 20/10/2023 ampliando el plazo a otros cinco días y remitiendo la
documentación existente.
El 31/10/2023 el reclamado presento escrito de alegaciones formulando la
siguiente alegación única: la manifiesta anulabilidad del acuerdo de inicio de
procedimiento sancionador habida cuenta de los hechos acontecidos, por lo que se
solicitaba la declaración de anulabilidad del acuerdo iniciado.
SEXTO: Con fecha 22/11/2023, el instructor del procedimiento acordó la apertura de
un período de práctica de pruebas, acordándose las siguientes:
- Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por
los reclamantes y su documentación, los documentos obtenidos y generados
por los Servicios de Inspección que forman parte del expediente.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio presentadas por el reclamado y la documentación que acompaña.
SEPTIMO: Con fecha 12/04/2024 fue emitida Propuesta de Resolución en el sentido
de que sancionara a la parte reclamada, por una infracción del artículo 6.1 del RGPD,
tipificada en el artículo 83.5.a) del RGPD, con multa de 50.000 € (cincuenta mil euros).
Mediante escrito de fecha 26/04/2024, la parte reclamada solicito que
procediera a la aclaración de las medidas señaladas en la Propuesta que debían
implementarse, así como la suspensión del plazo concedido para la formulación de
alegaciones a la Propuesta y, en caso contrario, la ampliación del plazo para
alegaciones a la Propuesta.
Mediante escrito de fecha 03/05/2024 el instructor del procedimiento informó de
la improcedencia de la suspensión de dicho plazo, aclaración sobre las medidas a
implementar en el plazo de seis meses a partir de la firmeza de la resolución que, en
todo caso, se dicte. Por último, el instructor del procedimiento concedió la ampliación
del plazo solicitado a efectos de alegaciones a la Propuesta de Resolución, mediante
escrito de misma fecha.
La parte reclamada mediante escrito de fecha 10/05/2024 ha alegado, en
síntesis, lo siguiente: que la Propuesta no ha tenido en cuenta las circunstancias que
que se dan en el presente caso; que se ha tratado de un error humando involuntario
cometido por una empleada del proveedor; que es Konecta como encargado del
tratamiento de los datos de carácter personal el causante del error; la inadecuación del
encaje jurídico de la supuesta infracción cometida por la empleada del encargado; la
vulneración del principio de proporcionalidad respecto de la sanción económica
propuesta.
OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes,
HECHOS PROBADOS
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/21
PRIMERO. El 26/04/2023 tiene entrada en la AEPD escrito de la parte reclamante
contra el reclamado en el que manifiesta que el 27/02/2023 remitió escrito al
reclamado en relación con el uso de sus datos de carácter personal solicitando que
fueran utilizados exclusivamente para gestionar la tarjeta de crédito Naturgy de la que
es titular; el 23/04/2023 le envían publicidad relativa a la concesión de un préstamo,
haciendo caso omiso a su petición y al escrito de respuesta que recibió del reclamado
el 07/03/2023 en el que le expresaban hacer efectivo su derecho de oposición al uso
de sus datos de carácter personal.
SEGUNDO. Consta aportado el DNI del reclamante.
TERCERO. Consta aportado copia del escrito de 27/02/2023 dirigido por la parte
reclamante a la reclamada en relación con el uso de sus datos de carácter personal a
que se hace referencia en el hecho primero.
CUARTO. Consta aportado escrito de respuesta del reclamado de fecha 07/03/2023
en el que manifestaba: “(…)
Acusamos recibo de su escrito donde ejercita su derecho de oposición a la utilización
de sus datos para fines comerciales y de prospección comercial …
De conformidad con el artículo 21 del RGPD y 18 de la LOPDGDD, relativo al ejercicio
del derecho de oposición, se ha procedido a hacer efectivo su derecho, en los
términos por usted manifestados en su solicitud.
(…)”
QUINTO. Consta aportada la publicidad recibida por el reclamante relativa a la
campaña de promoción llevada a cabo por el reclamado de Préstamo Preconcedido
Online, de abril 2023.
SEXTO. La parte reclamada en escrito de 06/07/2023 manifestaba que ”Se verifica por
la parte reclamada que el Reclamante remitió a la dirección de correo postal la
solicitud del ejercicio del derecho de oposición…
Como no podía ser de otra forma, la Compañía atiende la petición en forma y plazo,
dando traslado al Sr. A.A.A. vía correo certificado, en fecha 07 de marzo de 2023, al
respecto de la estimación de su solicitud…
No obstante, el Reclamante recibió en fecha posterior a la confirmación de la atención
a su solicitud, una única comunicación de correo comercial a través de correo postal.
En el momento en que se tienen constancia de estos hechos, se procede, sin mayor
dilación, a hacer efectivos los intereses del Reclamante, en lo relativo a su derecho de
oposición, se adjunta a continuación evidencia de los sistemas de Santander
Consumer una vez subsanado el 9 de junio de 2023…
En este sentido, una vez notificada la reclamación que ahora se contesta, la
pretensión del Sr. A.A.A. consta debidamente atendida en los sistemas de Santander
Consumer.
En suma, se ha subsanado la incidencia que dio lugar a la presente reclamación”.
(…)
La causa que motiva la presente reclamación tiene su razón de ser en el error humano
que se cometió durante la tramitación de la solicitud. Pues bien, el error humano tuvo
lugar cuando el empleado responsable de marcar y desmarcar, de manera manual, las
casillas del consentimiento a la recepción de comunicaciones comerciales…en los
sistemas de la Compañía, obvia modificar a NO las Casillas (de la 4 a la 7) de envío
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/21
de comunicaciones comerciales cuya base de legitimación es el interés legítimo de la
Compañía...
(…)
Conforme se ha venido expresando a lo largo de presente escrito, ha quedado
acreditado que esta parte actuó en todo momento desde el respeto escrupuloso de la
normativa vigente, cumpliendo con el esquema establecido legalmente.
(…)”
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los
procedimientos tramitados por la Agencia Española de Protección de Datos se regirán
por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las
disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las
contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos."
II
Cuestión previa
La parte reclamada en su escrito de 31/10/2023 ha formulado una única
alegación: DE LA MANIFIESTA ANULABILIDAD DEL ACUERDO DICTADO HABIDA
CUENTA LOS HECHOS ACONTECIDOS construyendo y articulando su alegato de
anulabilidad basándose en que en el acuerdo de inicio que le fue notificado el
11/10/2023, según acuse de recibo que figura en el expediente, figura que “No consta
respuesta de la parte reclamada a la información solicitada” y que tal afirmación no
responde con veracidad a los hechos acontecidos ya que 06/07/2023 se procedió a la
presentación en la sede del órgano, en tiempo y forma, el escrito trasladando la
respuesta de la parte reclamada al requerimiento informativo de la Agencia de fecha
08/06/2023 ante la reclamación interpuesta por la parte reclamante. Presentación
presencial que se llevó a cabo en el Registro de Agencia ante la imposibilidad de
presentación vía electrónica, cuestión que fue constatado en diferentes momentos de
aquella semana, lo que obligo a la presentación de manera presencial en el mismo
organismo, considerando que ha existido un vicio radical en la tramitación del
procedimiento lo que incide en la anulabilidad el acuerdo de inicio.
Es cierto que la presentación de la documentación se realizó el 06/07/2023 y
así consta en acuse de recibo, pero también lo es que por algún problema informático
el citado registro no tuvo acceso a la aplicación del sistema hasta el 17/10/2023.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/21
Es más, el 18/10/2023 tiene entrada en la AEPD escrito de la parte reclamada
solicitando ampliación del plazo a efecto de alegaciones y copia del expediente
administrativo. El 20/10/2023 le fue remitido escrito del Instructor del procedimiento a
través del cual se ampliaba el plazo para formular alegaciones hasta un máximo de
cinco días, computándose a partir del día siguiente a aquel en el que finalizare el
primer plazo de alegaciones, de conformidad con el artículo 32 de la Ley 39/2015 y se
trasladaba copia del expediente, de acuerdo con el artículo 53.1 a) de la misma ley. La
citada copia incluía el índice de los documentos del EXP202307696:
26-04-2023 Reclamación del reclamante
06-06-2023 Traslado reclamación al reclamado
06-07-2023 Respuesta del reclamado
26-07-2023 Comunicación al reclamante
05-10-2023 Acuerdo de inicio al reclamado
11-10-2023 Escrito al reclamante
18-10-2023 Escrito del reclamado
Es decir, el reclamado ha tenido conocimiento de que su escrito y
documentación, del que se le ha dado trasladó de todos los documentos que
integraban el expediente, por el que se daba respuesta al requerimiento de
información al traslado de la reclamación interpuesta por el reclamante y la
documentación relacionada con la incidencia reclamada, había tenido entrada el 06-
07-2023, por lo que la inclusión de la no respuesta al citado requerimiento en el
Acuerdo de Inicio se ha tratado de un error informático que motivó la ausencia de
acceso a la aplicación del sistema de la citada respuesta, que en ninguna caso puede
considerarse que haya causado indefensión ni afectado al derecho de defensa del
reclamado, pues a partir del traslado de la copia del expediente y la ampliación del
plazo para formular alegaciones ha tenido la posibilidad de alegar lo que hubiera
tenido por conveniente a la infracción de la que se le considera responsable. Ni
tampoco a la anulabilidad del acto.
El artículo 48 de la LPACAP, Anulabilidad, establece que:
“1. Son anulables los actos de la Administración que incurran en cualquier
infracción del ordenamiento jurídico, incluso la desviación de poder.
2. No obstante, el defecto de forma sólo determinará la anulabilidad cuando el
acto carezca de los requisitos formales indispensables para alcanzar su fin o dé lugar
a la indefensión de los interesados.
3. La realización de actuaciones administrativas fuera del tiempo establecido
para ellas sólo implicará la anulabilidad del acto cuando así lo imponga la naturaleza
del término o plazo”.
Hay que señalar que la anulabilidad se produce cuando el acto infringe el
ordenamiento jurídico, no reúne los requisitos formales indispensables para alcanzar
su fin o causa indefensión de los interesados, o es realizado fuera del tiempo
establecido, siendo el término o plazo indispensable para el propio acto.
Sin embargo, en el presente caso no se dan ninguna de los supuestos o
requisitos para que cómo predica la parte reclamada el acto pueda ser calificado como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/21
anulable pues ni concurre vicio o defecto que provoque o determine una irregularidad
invalidante o que pueda encajarse en alguno de los supuestos de nulidad de pleno
derecho.
Por tanto, el reclamado no puede ampararse para eludir su responsabilidad en
los hechos puestos acreditados y puestos de manifiesto en la mera inclusión en el
acuerdo de inicio de la mención a que no había habido respuesta al requerimiento de
información de la AEPD y que tal exclusión le produce indefensión.
La parte reclamada ha tenido la oportunidad de defenderse y hacer valer sus
puntos de vista en relación con los hechos de los que se le considera responsable, no
habiéndole ocasionado los defectos formales denunciados indefensión material, por lo
que procede desestimar los vicios invocados.
La A.N. en sentencia 2071/2019 de 29/04/2019 señalaba que “Así, ha reiterada
la jurisprudencia - SSTS, Sala 3ª, de 12 de Julio de 2007 (Rec. 92/2003 ), 31 de mayo
de 2010 (Rec. 1945/2006 ) entre otras- que no cualquier anomalía formal o
procedimental tiene efectos invalidantes, sino que es necesario que se produzca una
vulneración de las garantías constitucionales previstas en el artículo 24 de la
Constitución y que vaya acompañada de una real producción de indefensión, esto es,
que tales defectos hayan originado al recurrente un menoscabo real de su derecho de
defensa causándole un perjuicio real y efectivo ( SSTC 155/1988, de 22 de julio ,
89/1997, de 5 de mayo y 78/1999, de 26 de abril ).
En este sentido, señala el Tribunal Constitucional que para apreciar la
existencia de lesión constitucional, no basta la existencia de un defecto procedimental,
sino que es necesario que éste se haya traducido en indefensión material, esto es, en
un perjuicio real y efectivo, nunca potencial y abstracto, de las posibilidades de
defensa en un procedimiento con las necesarias garantías ( SSTC 15/1995, de 24 de
enero y 1/2000, de 17 de enero , entre otras muchas). Sin que, como señala la STC
27/2001, de 29 de enero , exista indefensión material si, a pesar de haberse producido
algún quebrantamiento procesal, las partes han podido defender sus derechos e
intereses legítimos”.
Asimismo, en sentencia 1634/2019 de 09/04/2019 establece que “Denuncia
asimismo Meydis la existencia de indefensión vulneradora del artículo 24.2 de la
Constitución, que fundamenta en las irregularidades detalladas en el Fundamento de
Dº segundo.
Al respecto y con carácter general, ha de traerse a colación la doctrina del
Tribunal Constitucional según la cual para apreciar la existencia de lesión
constitucional, no basta la existencia de un defecto procedimental, sino que es
necesario que éste se haya traducido en indefensión material, esto es, en un perjuicio
real y efectivo, nunca potencial y abstracto, de las posibilidades de defensa en un
procedimiento con las necesarias garantías ( SSTC 15/1995, de 24 de enero y 1/2000,
de 17 de enero , entre otras muchas). Sin que, como señala la STC 27/2001, de 29 de
enero, exista indefensión material si, a pesar de haberse producido algún
quebrantamiento procesal, las partes han podido defender sus derechos e intereses
legítimos.
En este sentido, ha reiterada la jurisprudencia - SSTS, Sala 3ª, de 12 de Julio
de 2007 (Rec. 92/2003), 31 de mayo de 2010 (Rec. 1945/2006) entre otras- que no
cualquier anomalía formal o procedimental tiene efectos invalidantes, sino que es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/21
necesario que se produzca una vulneración de las garantías constitucionales previstas
en el artículo 24 de la Constitución y que vaya acompañada de una real producción de
indefensión.
Entrando ya en analizar las concretas infracciones denunciadas y en cuanto a
la falta de puesta de manifiesto del expediente en fase de audiencia, hay que señalar
que obra en el procedimiento (Folios 371 y 372) resolución del Instructor de 27 de
marzo de 2017, poniendo de manifiesto el expediente y concediéndole un plazo de 15
días hábiles para formular alegaciones. Así mismo en la citada resolución de 27 de
marzo de 2017 se detallaban los documentos obrantes en el procedimiento a fin de
que pudiera obtener las copias que estimara convenientes, previa cita.
Resolución que fue notificada a Meydis por la Sociedad Estatal de Correos y
Telégrafos el día 28 de marzo de 2017 (Folio 373).
Por tanto, no es cierto que no se hubiera puesto de manifiesto y se hubiera
impedido acceder al expediente a Meydis, quien pudo comparecer ante la AEPD para
tomar vista del expediente y obtener copias del mismo, o pudo haber concretado una
cita, como se le advirtió en la resolución de 27 de marzo 2017, para obtener las copias
que estimara convenientes, lo que tampoco hizo, por lo que ninguna indefensión
material cabe apreciar.
Cabe recordar también, que conforme reiterada doctrina del Tribunal Supremo
de la que se hace eco, entre otras la sentencia de 11/10/2012 (Rec. 408/2010) "la
nulidad de los actos administrativos sólo era apreciable en los supuestos tasados del
artículo 47 LPA ( art. 62 de la Ley de Régimen Jurídico de las Administraciones
Públicas y Procedimiento Administrativo Común, Ley 30/1992, de 26 de noviembre...)
y la anulabilidad por defectos formales, sólo procedía cuando el acto carecía de los
requisitos formales indispensables para alcanzar su fin o producía indefensión de los
interesados, según el artículo 48.2 LPA ( art. 63.2 LRJ-PAC )", (...). Y, por ultimo
debemos reiterar que "no se produce indefensión a estos efectos si el interesado ha
podido alegar y probar en el expediente cuanto ha considerado oportuno en defensa
de sus derechos y postura asumida, como también recurrir en reposición, doctrina que
se basa en el artículo 24.1 CE, si hizo dentro del expediente las alegaciones que
estimó oportunas" (STS 27 de febrero de 1991), "si ejercitó, en fin, todos los recursos
procedentes, tanto el administrativo como el jurisdiccional" ( STS de 20 de julio de
1992).
(...) En síntesis, que el vicio de forma o procedimiento no es invalidante de por
sí, sino en cuanto concurran los supuestos de que el acto carezca de los requisitos
indispensables para alcanzar su fin o dé lugar a la* indefensión de los interesados,
conforme dispone el artículo 63 LRJPA , y de ahí que pueda purgarse a lo largo del
procedimiento e incluso en vía contencioso- administrativa, trámite en el cual puede
obviarse, por razones de economía procesal, enjuiciando el fondo del asunto, tanto
cuando el mismo hubiese sido no influyente en la decisión ---de suerte que ésta
hubiere sido la misma---, como cuando aún sí influyente, la decisión hubiese sido
correcta o incorrecta, manteniéndola en su supuesto y anulándola en el otro, y sólo
apreciarse en el caso de que por existencia carezca el órgano jurisdiccional de los
elementos de juicio necesarios para la valoración de la decisión administrativa"
Y el Tribunal Constitucional ha venido señalando que “el contenido esencial del
derecho constitucional a ser informado de la acusación se refiere a los hechos
considerados punibles que se imputan al acusado” (STC 95/1995). Por el contrario, y
a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/21
que la comunicación al presunto infractor de la calificación jurídica y de la eventual
sanción a imponer no integra el contenido esencial del derecho a ser informado de la
acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos
constitutivos de la infracción administrativa, que el T.C. ha declarado que las
exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola
comunicación de los hechos imputados para poder defenderse sobre los mismos (STC
2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de
2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los
hechos imputados y no sobre la calificación jurídica, de lo que se encargará la
propuesta de resolución”.
Por tanto, a la vista de lo que antecede la alegación vertida en la respuesta al
acuerdo de inicio debe ser desestimada.
III
Alegaciones a la Propuesta de Resolución
1. En primer lugar, insiste la parte reclamada en alegar la existencia de
indefensión vulneradora del artículo 24.2 de la Constitución, ya que si respondió al
requerimiento realizado por la Agencia y que fundamenta en la ausencia detallada en
los hechos recogidos en la Propuesta.
La A.N. en numerosas sentencias se ha pronunciado sobre dicha cuestión
estableciendo que “Al respecto y con carácter general, ha de traerse a colación la
doctrina del Tribunal constitucional según la cual para apreciar la existencia de lesión
constitucional, no basta la existencia de un defecto procedimental, sino que es
necesario que éste se haya traducido en indefensión material, esto es, en un perjuicio
real y efectivo, nunca potencial y abstracto, de las posibilidades de defensa en un
procedimiento con las necesarias garantías ( SSTC 15/1995, de 24 de enero y 1/2000,
de 17 de enero , entre otras muchas). Sin que, como señala la STC 27/2001, de 29 de
enero, exista indefensión material si, a pesar de haberse producido algún
quebrantamiento procesal, las partes han podido defender sus derechos e intereses
legítimos.
En este sentido, ha reiterada la jurisprudencia - SSTS, Sala 3ª, de 12 de Julio
de 2007 (Rec. 92/2003), 31 de mayo de 2010 (Rec. 1945/2006) entre otras- que no
cualquier anomalía formal o procedimental tiene efectos invalidantes, sino que es
necesario que se produzca una vulneración de las garantías constitucionales previstas
en el artículo 24 de la Constitución y que vaya acompañada de una real producción de
indefensión.
2. Alega igualmente que todo ha sido debido a un error humano involuntario por
una empleada del encargado que presta servicios a favor de la parte reclamada,
cuando ésta encargada de marcar o desmarcar de manera manual las casillas del
consentimiento omitido marcar No a efectos de envío publicidad comercial, teniendo
difícil encaje jurídico la supuesta infracción cometida.
Hay que señalar que estando acreditado la conducta típica, la ilicitud del
tratamiento de los datos de la parte reclamante, de conformidad con lo establecido en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/21
el artículo 6.1 del RGPD estando acreditado haber ejercitado su derecho de oposición
a que sus datos fueran utilizados con fines comerciales, la cuestión se centra en
determinar si de tal conducta puede nacer responsabilidad administrativa
sancionadora.
La reclamada solicita que se acuerde el archivo dado que no tiene encaje
jurídico la supuesta infracción cometida.
La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En
el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de
forma que el elemento subjetivo o culpabilístico es una condición indispensable para
que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de
Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y
dispone:
“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”
De conformidad con este precepto, la responsabilidad sancionadora puede
exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera
inobservancia del deber de cuidado.
El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que
las sanciones administrativas participan de la misma naturaleza que las penales, al ser
una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.
A propósito de la culpabilidad de la persona jurídica cabe citar la STC
246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las
personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente
de forma distinta a como se hace respecto de las personas físicas y añade que “Esta
construcción distinta de la imputabilidad de la autoría de la infracción a la persona
jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos
sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de
infringir las normas a las que están sometidos. Capacidad de infracción y, por ende,
reprochabilidad directa que deriva del bien jurídico protegido por la norma que se
infringe y la necesidad de que dicha protección sea realmente eficaz [...]”
La decisión de archivar un expediente sancionador podrá fundarse en la
ausencia del elemento de la culpabilidad cuando el responsable de la conducta
antijurídica hubiera obrado con toda la diligencia que le resulta exigible.
Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la
culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las
normas a las que están sometidos”. “Capacidad de infracción [...] que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz [...]”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/21
En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD
(principio de responsabilidad proactiva), según el cual el responsable del tratamiento
será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrar su cumplimiento. El principio de proactividad transfiere al responsable del
tratamiento la obligación no solo de cumplir con la normativa en materia de protección
de datos, sino también la de poder demostrar dicho cumplimiento.
El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173-
emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas
reflexiones son aplicables en la actualidad, afirma que la “esencia” de la
responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar
medidas que, en circunstancias normales, garanticen que en el contexto de las
operaciones de tratamiento se cumplen las normas en materia de protección de datos
y en tener disponibles documentos que demuestren a los interesados y a las
Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento
de las normas en materia de protección de datos.
Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre
la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la
naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de
diversa probabilidad y gravedad para los derechos y libertades de las personas físicas,
el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a
fin de garantizar y poder demostrar que el tratamiento es conforme con el presente
Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario."
Cabría señalar cual fue la diligencia observada por la parte reclamada en
relación con la conducta que debía haber observado en relación con la conducta
examinada. La respuesta es que la diligencia que debió observar era la precisa para
cumplir las obligaciones que le imponía el artículo 6.1 del RGPD y que motivo la
apertura del procedimiento.
Por tanto, de conformidad con el principio de proactividad la parte reclamada
no adoptó una actitud diligente constatándose una clara ausencia de diligencia, pues,
después de haber garantizado que había realizado lo oportuno y necesario para que
repitiera el envío de correos publicitarios y de esta forma evitar incidencias como las
que dio lugar a la reclamación y la apertura del procedimiento, el afectado volvió a
recibir nuevo correo publicitario haciendo referencia a promociones de la reclamada,
infringiendo la normativa de protección de datos, articulo 6.1 RGPD, conducta y
comportamiento existente en el presente caso, evidenciando ausencia de diligencia.
3. Alega la parte reclamada que es Konecta, como encargado del tratamiento
de los datos de carácter personal, el causante del error producido.
El artículo 4 del RGPD, Definiciones, recoge en sus apartados 7 y 8 las
relativas al responsable y encargado del tratamiento estableciendo que:
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/21
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros;
8) «encargado del tratamiento» o «encargado»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que trate datos personales por cuenta del
responsable del tratamiento.
Es decir, de dichas definiciones se deduce que el encargado se limita a tratar la
información por cuenta del responsable, mientras que éste, y no el encargado, será el
que tome las decisiones sobre el tratamiento de datos de carácter personal, con
excepción de aquellas otras que se tomen por cuestiones técnicas y organizativas que
podrían ser delegadas.
De esta forma, de una valoración de la documentación aportada al expediente,
no cabe sino colegir que quien ha determina los fines y medios del tratamiento es la
parte reclamada por lo que la infracción apreciada, vulneración del principio de licitud
en el tratamiento de los datos: artículo 6.1 del RGPD y tipificada en el artículo 83.5.a)
del mismo RGPD se atribuye al responsable del tratamiento, la parte reclamada.
Por otra parte, la existencia de un encargado del tratamiento depende de una
decisión adoptada por el responsable del tratamiento, que podrá decidir realizar por si
mismo determinadas operaciones de tratamiento o contratar la totalidad o parte del
tratamiento con un encargado.
La esencia de la función del encargado el tratamiento es que los datos
personales sean tratados en nombre y por cuenta del responsable del tratamiento. En
la práctica, es el responsable el que determina la finalidad y los medios, al menos los
esenciales, mientras que el encargado del tratamiento tiene la función de prestar
servicios a los responsables del tratamiento. En otras palabras, “actuando en nombre
y por cuenta del responsable del tratamiento” significa que el encargado del
tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo
una tarea específica y que, por tanto, sigue las instrucciones establecidas por éste, al
menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento
encomendado.
El responsable del tratamiento es quien tiene la obligación de garantizar la
aplicación de la normativa de protección de datos y la protección de los derechos de
los interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del
RGPD). El control del cumplimiento de la legalidad se extiende durante todo el
tratamiento, desde el principio hasta el final. El responsable del tratamiento debe
actuar, en cualquier caso, de forma diligente, consciente, comprometida y activa.
Ese mandato del legislador es independiente de que el tratamiento lo realice
directamente el responsable del tratamiento o de que lo efectúe valiéndose de un
encargado del tratamiento.
Además, el tratamiento ejecutado materialmente por un encargado de
tratamiento por cuenta del responsable del tratamiento pertenece a la esfera de
actuación de éste último, de igual forma que si lo realizara directamente él mismo. El
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/21
encargado de tratamiento, en el supuesto examinado, es una extensión del
responsable del tratamiento.
Al establecer la responsabilidad del encargado del tratamiento en la comisión
de infracciones al RGPD, su artículo 28.10 también atiende al criterio de la
determinación de los fines y medios del tratamiento. De acuerdo con este artículo, si el
encargado determina los fines y medios del tratamiento será considerado responsable
del mismo:
“10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado
del tratamiento infringe el presente Reglamento al determinar los fines y medios del
tratamiento, será considerado responsable del tratamiento con respecto a dicho
tratamiento”.
Por tanto, Konecta podría considerarse responsable del tratamiento si hubiera
actuado, "(...) al margen o en contra de las instrucciones legales del responsable (...)".
Por el contrario, de las manifestaciones realizadas por la parte reclamada ha quedado
acreditado que Konecta, encargado del tratamiento, remitió la publicidad postal a la
parte reclamante vulnerando su propia decisión de haber atendido el derecho de
oposición ejercitado por el reclamante en relación con la utilización de sus datos para
fines comerciales y de prospección comercial, publicidad en la que se hacía referencia
a ofertas de la parte reclamada, con frases publicitarias como: Préstamo Preconcedido
Online.
En todo caso, Konecta envío la publicidad de acuerdo con las directrices de la
parte reclamada y promocionando los servicios de ésta. Por tanto, queda acreditado
que, el responsable último de los hechos acaecidos es la parte reclamada.
4. Para finalizar, alega el reclamado la vulneración del principio de
proporcionalidad en la imposición de la sanción.
Hay que señalar que el artículo 83.1 del RGPD previene que “Cada autoridad
de control garantizará que la imposición de las multas administrativas con arreglo al
presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y
disuasoria”.
Las multas por tanto según se deduce del precepto que antecede han de ser
efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida
por el RGPD.
Es cierto, que para que dicho sistema funcione con todas sus garantías es
necesario que varios elementos se desplieguen de forma íntegra y completa. La
aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en
cada uno de los Estados miembros aplicando su derecho nacional, ya sea por
circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD
en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que
perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que
las multas impuestas por distintas infracciones dejarían de ser efectivas,
proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/21
de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme
del RGPD. Se disminuirían los mecanismos de protección de los derechos y las
libertades de los ciudadanos y sería contrario con el espíritu del RGPD.
El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.
En cuanto al principio de proporcionalidad de las sanciones, la Audiencia
Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad
no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se
otorga a la Administración en la imposición de sanciones dentro de los límites
legalmente previstos, debe ser desarrollado ponderando en todo caso, las
circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción
entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe
determinarse en congruencia con la entidad de la infracción cometida y según un
criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que
la proporcionalidad constituye un principio normativo que se impone a la
Administración y que reduce el ámbito de sus potestades sancionadoras.
Pues bien, de conformidad con las circunstancias que concurren en el presente
caso la presente resolución no vulnera el principio de proporcionalidad en la
determinación de las sanciones impuestas, resultando ponderada y proporcionada a la
gravedad de la infracción cometida, la importancia de los hechos, así como las
circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones
que justifiquen aún más la minoración efectuada, sobre todo teniendo en cuenta la
cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5
del RGDP, que prevé para la infracción del artículo 6.1 del RGDP, “con multas
administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una
cuantía equivalente al 4% como máximo del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía”.
Pues bien, la parte reclamada se trata de una gran empresa dentro de su
sector de actividad; en el año 2022 tuvo un resultado de ejercicio de 1.601 millones de
euros y un beneficio neto de 1.321 millones.
IV
Obligación incumplida: infracción del artículo 6.1 del RGPD
Los hechos denunciados se materializan en la recepción de publicidad postal
después de ser atendido el derecho de oposición por el reclamado, lo que podría
vulnerar la normativa en materia de protección de datos de carácter personal.
El artículo 58 del RGPD, Poderes, señala:
“2. Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/21
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando
proceda, de una determinada manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las
circunstancias de cada caso particular;
(…)”
El artículo 5 del RGPD, Principios relativos al tratamiento, establece que:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);
(…)”
Por otra parte, el artículo 6.1 del RGPD, establece los supuestos que permiten
considerar lícito el tratamiento de datos personales:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.”
Asimismo el Considerando 40 del mencionado RGPD, dispone que «Para que
el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/21
necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.»
Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11,
señala que:
“1) «datos personales»: toda información sobre una persona física identificada
o identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador, como por ejemplo un nombre, un número de identificación,
datos de localización, un identificador en línea o uno o varios elementos propios de la
identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha
persona;
“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;
“11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea mediante
una declaración o una clara acción afirmativa, el tratamiento de datos personales que
le conciernen”.
El tratamiento de datos de carácter personal requiere la existencia de una base
legal que lo legitime.
De conformidad con el artículo 6.1 del RGPD, además del consentimiento,
existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de
contar con la autorización de su titular. en particular, cuando sea necesario para la
ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición
de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de
intereses legítimos perseguidos por el responsable del tratamiento o por un tercero,
siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y
libertades fundamentales del afectado que requieran la protección de tales datos. El
tratamiento también se considera lícito cuando sea necesario para el cumplimiento de
una obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.
Consta acreditado que la parte reclamante en fecha 27/02/2023 remitió escrito
a la parte reclamada ejercitando su derecho de oposición a que sus datos fueran
utilizados con fines comerciales.
Consta asimismo el escrito de fecha 07/03/2023 remitido a la parte reclamante
dando respuesta a su solicitud en el que se le trasladaba que se procedía a tomar nota
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/21
y hacer efectivo su derecho en los términos indicados: “Acusamos recibo de su escrito
donde ejercita su derecho de oposición a la utilización de sus datos para fines
comerciales y de prospección comercial …
De conformidad con el artículo 21 del RGPD y 18 de la LOPDGDD, relativo al
ejercicio del derecho de oposición, se ha procedido a hacer efectivo su derecho, en los
términos por usted manifestados en su solicitud”.
Sin embargo, en abril de 2023, es decir con posterioridad a la comunicación
anterior en la que la parte reclamada le anunciaba que atendía su derecho de
oposición a no utilizar de sus datos de carácter personal para fines comerciales y de
prospección comercial, le fue remitida al reclamante publicidad relativa a campaña
publicitaria relacionada con la concesión de Préstamo Preconcedido Online, haciendo
caso omiso a lo señalado en la respuesta ofrecida al ejercicio de su derecho.
Por lo tanto, no es aceptable como manifiesta la parte reclamada que “una vez
notificada la reclamación que ahora se contesta, la pretensión del Sr. A.A.A. consta
debidamente atendida en los sistemas de Santander Consumer.
En suma, se ha subsanado la incidencia que dio lugar a la presente
reclamación”.
Y a continuación señalar que “ha quedado acreditado que esta parte actuó en
todo momento desde el respeto escrupuloso de la normativa vigente, cumpliendo con
el esquema establecido legalmente”.
Todo lo contrario, la negligencia en la infracción es manifiesta, al constatar una
clara falta de diligencia debida de la parte reclamada en la gestión del derecho de
oposición de la parte reclamante, pues, después de haber asegurado que había
realizado las gestiones oportunas para que no se le volviera a enviar nuevos correos
publicitarios, la parte reclamante volvió a recibir nuevo correo publicitario haciendo
referencia a promociones de la reclamada.
.
Por tanto, se considera que la conducta del reclamado vulnera el principio de
licitud consagrado en el artículo 6.1 del RGPD, tipificada en el artículo 83.5 a) del
RGPD.
V
Tipificación de la infracción del artículo 6.1 del RGPD
La infracción que se le atribuye a la reclamada se encuentra tipificada en el
artículo 83.5 a) del RGPD, que considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/21
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.
(…)”
VI
Sanción por incumplimiento del artículo 6.1 del RGPD
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/21
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
- De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la
sanción de multa a imponer en el presente caso por la infracción del artículo 6.1 del
RGPD, tipificada en el artículo 83.5.a) del RGPD de la que se responsabiliza a la parte
reclamada, se estiman concurrentes las siguientes circunstancias:
La naturaleza, gravedad y duración de la infracción: los hechos puestos de
manifiesto afectan gravemente a una cuestión primordial en materia de protección de
datos como es el principio de licitud, que la norma sanciona con la mayor gravedad;
ejercitado el derecho de oposición por el reclamante y habiendo sido atendido por el
reclamado, éste trato nuevamente su datos de carácter personal y sin legitimación
alguna para su utilización para fines comerciales y de prospección comercial, le remitió
publicidad comercial a lo que se había opuesto precisamente el reclamante en el
ejercicio de su derecho de oposición (artículo 83.2.a) del RGPD).
La actividad de la entidad presuntamente infractora está vinculada con el
tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/21
reclamada es imprescindible el tratamiento de datos de carácter personal por lo que,
dado volumen de negocio de la misma la transcendencia de la conducta objeto de la
presente reclamación es innegable (artículo 76.2.b) de la LOPDGDD en relación con el
artículo 83.2.k).
La intencionalidad o negligencia en la infracción; pues el reclamado ha actuado
con grave falta de diligencia en su actuación, como es el de envío de publicidad
comercial al reclamante incumpliendo la respuesta que le había ofrecido al ejercicio de
su derecho de oposición. Conectado con el grado de diligencia que el responsable del
tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le
impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si
bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente
extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las
entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de
datos de clientes y terceros han de observar un adecuado nivel de diligencia,
precisaba que “(...) el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de
ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que,
en el caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
b) del RGPD).
El volumen de negocio del reclamado pues se trata de una empresa líder en
financiación al consumo no solo dentro del mercado español por su objeto de negocio
(artículo 83.2, k) del RGPD).
VII
Adopción de medidas
Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de
control se relacionan en su artículo 58.2, apartados a) a j).
Al haberse confirmado la infracción, procede acordar imponer al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá “ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Por tanto, se consideraría procedente ordenar que el reclamado en el plazo de
seis meses a partir de la firmeza de la resolución que, en todo caso, se dicte para que
adecúe los tratamientos objeto del presente procedimiento a la normativa aplicable. En
el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar
a la vulneración de la normativa de protección de datos, de lo que se infiere con
claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/21
corresponda a la parte sancionada, pues es quien conoce plenamente su organización
y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo
cumplir con el RGPD y la LOPDGDD. En concreto, deberán adoptarse medidas
adecuadas para asegurar que los derechos de oposición ejercitados por los
interesados y estimados por la entidad reclamada sean tenidos en cuenta al realizar
cualquier tipo de campaña promocional
Se advierte que no atender la orden impuesta por este organismo podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a SANTANDER CONSUMER FINANCE, S.A., con NIF
A28122570, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo
83.5.a) del RGPD, una multa de 50.000 € (cincuenta mil euros).
SEGUNDO: ORDENAR a SANTANDER CONSUMER FINANCE, S.A., con NIF
A28122570, que en virtud del artículo 58.2.d) del RGPD, en el plazo de 6 meses desde
que la presente resolución sea firme y ejecutiva, acredite haber procedido a adecuar
los tratamientos objeto del presente procedimiento a la normativa aplicable,
concretamente atender escrupulosamente el ejercicio de los derechos por los
interesados cumpliendo con lo exigido por la normativa en materia de protección de
datos legitimando el tratamiento de conformidad con el artículo 6.1 del RGPD.
TERCERO: NOTIFICAR la presente resolución a SANTANDER CONSUMER
FINANCE, S.A.
CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT:
XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/21
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es