1/13
Expediente N.º: EXP202313713
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 29 de enero de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a IDFINANCE SPAIN,
S.A.U. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar
las alegaciones presentadas, con fecha 26 de abril de 2024, se emitió la propuesta de
resolución que a continuación se transcribe:
<<
Expediente N.º: EXP202313713
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 28 de agosto de 2023, A.A.A. (en adelante, la parte reclamante)
interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra ID FINANCE SPAIN, S.A.U. con NIF A66487190 (en
adelante, la parte reclamada).
Los motivos en que basa la reclamación son los siguientes:
La parte reclamante manifiesta que la entidad reclamada incluye sus datos personales
en sistemas de información crediticia, en relación con una deuda que se encuentra
impugnada y admitida a trámite en el Juzgado de Primera Instancia número X de
Barcelona, y de haber interpuesto reclamación ante esta Agencia (número de
expediente EXP202303972), en la que la entidad reclamada indicaba que suprimía de
los sistemas de información crediticia los datos del reclamante.
Aporta admisión a trámite del juzgado, de fecha 10 de marzo de 2023; escrito en el
que se comunicaba la supresión de sus datos de los sistemas de información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
crediticia, de 5 de mayo de 2023; e informe de ASNEF sobre la inclusión de sus datos
a instancias de la parte reclamada, de fecha 27 de agosto de 2023.
SEGUNDO: Con fecha 6 de octubre de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
TERCERO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
ID FINANCE SPAIN, S.A.U. es una gran empresa constituida en el año 2015, cuyo
objeto social es la concesión de préstamos o créditos no hipotecarios a cualquier
persona, con una cantidad de empleados de 146 personas, y una cifra de negocios de
178.771.000 € en el año 2022.
CUARTO: Con fecha 29 de enero de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el
Artículo 83.5 del RGPD.
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, manifestaba lo siguiente:
No procede la calificación de las agravantes previstas en el acuerdo de inicio al
considerar que debe proceder aplicar dicha agravante por ser ID FINANCE una
entidad de crédito, ya que está fuera del ámbito de aplicación de la Ley 10/2014, de 26
de junio, de ordenación, supervisión y solvencia de entidades de crédito.
ID FINANCE dio de baja los datos del Reclamante del fichero de ASNEF en
marzo/mayo de 2023 y tiene medidas de seguridad técnicas y organizativas para
garantizar que únicamente se comunican datos de clientes a los sistemas de
información crediticia cuando cumplan los requisitos legales para hacerlo. Sin
embargo, cabe considerar que siempre es posible que ocurra algún error humano e
incluso técnico que afecte al resultado de la gestión.
En este caso en concreto, fue un error técnico el que causó la nueva alta de los datos
del Reclamante en ASNEF, los cuales fueron dados de baja inmediatamente por ID
FINANCE tras conocerse el origen del error comunicado por el Reclamante.
ID FINANCE ha procedido tomando todas las medidas que razonablemente eran
eficaces e idóneas para conseguir el resultado esperado, teniendo en cuenta los
medios a su disposición para dar de baja los datos del Reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
En cualquier caso, se trata de un incidente de seguridad relativo a la confidencialidad
de los datos del Reclamante causado por un error técnico (la desconfiguración del
botón del expediente del cliente Reclamante) y no se trata de ningún tratamiento de
datos previsto en el Registro de Actividades del Tratamiento de ID FINANCE.
Es decir, al tratarse de un tratamiento de datos erróneo, no hay una base jurídica
prevista por ID FINANCE, ya que se trató de un incidente de seguridad relacionado
con la confidencialidad de los datos, que, tras realizar las investigaciones oportunas,
se concluyó que no resultaba necesario comunicarlo a la AEPD debido a la naturaleza,
volumen de afectados, tipo de datos y alcance del incidente; ni se estimó necesario
informar de ello al Reclamante, puesto que fue él mismo quien notificó el incidente.
SEXTO: Con fecha 18 de marzo de 2024, el instructor del procedimiento da por
reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su
documentación, los documentos obtenidos y generados durante la fase de admisión a
trámite de la reclamación, y el informe de actuaciones previas de investigación que
forman parte del procedimiento.
Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio del procedimiento sancionador referenciado, presentadas por IDFINANCE
SPAIN, S.A.U., y la documentación que a ellas acompaña.
SEPTIMO: Con fecha 26 de abril de 2024, se remite copia del expediente a la parte
reclamada, de todos los documentos obrantes en el expediente hasta dicha fecha.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El 27 de agosto de 2023, se han incluido los datos personales de la parte
reclamante en fichero de solvencia patrimonial a solicitud de la parte reclamada, pese
a que la deuda se encuentra impugnada y admitida a trámite en el Juzgado de Primera
Instancia número 4 de Barcelona, el 10 de marzo de 2023.
SEGUNDO: La parte reclamada afirma que fue un error técnico y que los datos de la
parte reclamante han sido dados de baja en ASNEF, a requerimiento suyo.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
de las personas físicas en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47,
48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección
de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es
competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
II
Cuestiones previas
En el presente caso, la parte reclamante denuncia la inclusión indebida de sus datos
personales en ficheros de solvencia patrimonial, ya que la deuda aún no es cierta ni
exigible pues se encuentra cuestionada en un proceso judicial en curso.
La parte reclamante afirma que la entidad reclamada incluye sus datos personales en
sistemas de información crediticia, en relación con una deuda que se encuentra
impugnada y admitida a trámite en el Juzgado de Primera Instancia número 4 de
Barcelona, el 10 de marzo de 2023 y remite informe de ASNEF sobre la inclusión de
sus datos a instancias de la parte reclamada, de fecha 27 de agosto de 2023.
La parte reclamada afirma que los hechos denunciados son un incidente de seguridad
causado por un error técnico (la desconfiguración del botón del expediente del cliente
Reclamante).
III
Artículo 6.1 del RGPD
El RGPD en su artículo 4.11 define el consentimiento del interesado como “toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen”.
En relación con la licitud del tratamiento de datos de carácter personal, el artículo 6.1
del RGPD, establece lo siguiente:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
En relación con los sistemas de información crediticia, hemos de acudir al artículo 20.1
de la LOPDGDD, destacando su apartado b), donde se establece lo siguiente:
“1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales
relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por
sistemas comunes de información crediticia cuando se cumplan los siguientes
requisitos:
a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta
o interés.
b) Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o
cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o
mediante un procedimiento alternativo de resolución de disputas vinculante entre las
partes.
c) Que el acreedor haya informado al afectado en el contrato o en el momento de
requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con
indicación de aquéllos en los que participe.
La entidad que mantenga el sistema de información crediticia con datos relativos al
incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al
afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro
de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo
bloqueados los datos durante ese plazo.
d) Que los datos únicamente se mantengan en el sistema mientras persista el
incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de
la obligación dineraria, financiera o de crédito.
e) Que los datos referidos a un deudor determinado solamente puedan ser
consultados cuando quien consulte el sistema mantuviese una relación contractual
con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera
solicitado la celebración de un contrato que suponga financiación, pago aplazado o
facturación periódica, como sucede, entre otros supuestos, en los previstos en la
legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento
de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.a) del
Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con
arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin
facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en
tanto se resuelve sobre la solicitud del afectado.
f) Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste
no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya
consultado el sistema informe al afectado del resultado de dicha consulta.”
Por su parte, el artículo 20 de la LOPDGDD, relativo a los sistemas de información
crediticia establece lo siguiente:
“1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales
relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por
sistemas comunes de información crediticia cuando se cumplan los siguientes
requisitos:
a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta
o interés.
b) Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o
cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o
mediante un procedimiento alternativo de resolución de disputas vinculante entre las
partes.
c) Que el acreedor haya informado al afectado en el contrato o en el momento de
requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con
indicación de aquéllos en los que participe.
La entidad que mantenga el sistema de información crediticia con datos relativos al
incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al
afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro
de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo
bloqueados los datos durante ese plazo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
d) Que los datos únicamente se mantengan en el sistema mientras persista el
incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de
la obligación dineraria, financiera o de crédito.
e) Que los datos referidos a un deudor determinado solamente puedan ser
consultados cuando quien consulte el sistema mantuviese una relación contractual
con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera
solicitado la celebración de un contrato que suponga financiación, pago aplazado o
facturación periódica, como sucede, entre otros supuestos, en los previstos en la
legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario.
Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento
de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.a) del
Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con
arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin
facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en
tanto se resuelve sobre la solicitud del afectado.
f) Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste
no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya
consultado el sistema informe al afectado del resultado de dicha consulta.
2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento
de los datos referidos a sus deudores, tendrán la condición de corresponsables del
tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del
Reglamento (UE) 2016/679.
Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la
inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud.
3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los
supuestos en que la información crediticia fuese asociada por la entidad que
mantuviera el sistema a informaciones adicionales a las contempladas en dicho
apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a
cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de
calificación crediticia.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
IV
Tipificación de la infracción del artículo 6.1 del RGPD
La inclusión de los datos personales de la parte reclamante en ficheros de solvencia
patrimonial, pese a que la deuda aún no es cierta ni exigible porque se encuentra
cuestionada en un proceso judicial en curso, supone una infracción del artículo 6.1 del
RGPD.
No obstante, la parte reclamada afirma que no es una entidad de crédito por lo que no
procede aplicar el agravante del artículo 76.2 b) de la LOPDGDD. Seguidamente la
parte reclamada en respuesta al acuerdo de inicia afirma además que ya ha dado de
baja al reclamante lo cual implica que cuenta con las medidas de seguridad técnicas y
organizativas necesarias, siendo los hechos que nos ocupan fruto de un error técnico
(la desconfiguración del botón del expediente del cliente Reclamante), y que no se
trata de ningún tratamiento de datos indebido.
En este sentido ha de indicarse en primer lugar que el artículo 76.2 b) LOPDGDD,
considera como agravante la vinculación de la actividad del infractor con la realización
de tratamientos de datos personales, lo cual no vincula sólo a las entidades de crédito,
sino también a las entidades que prestan servicios financieros a los usuarios pues su
actividad implica el tratamiento de datos personales, razón por la cual dicho agravante
resulta ser de aplicación.
En relación con la consideración de que se trata de un error técnico no es un
argumento que permita exonerar de responsabilidad a la parte reclamada, ni tampoco
otorga legitimidad en el tratamiento de los datos personales ya que este ha sido un
tratamiento de datos ilícito, ya que los datos personales de la parte reclamante han
sido indebidamente inscritos en el fichero de solvencia ASNEF, pese a que la deuda
objeto de inscripción no es cierta pues se encuentra recurrida judicialmente.
Por todo ello, los hechos denunciados suponen una infracción del artículo 6.1 del
RGPD, ya que la inclusión de los datos personales en ficheros de solvencia por una
deuda pendiente de resolución judicial, supone un tratamiento de datos personales sin
que conste que la parte reclamada haya realizado la ponderación necesaria que
permita determinar la prevalencia de su interés legítimo sobre los intereses, derechos
y libertades de la parte reclamante, al no quedar este tratamiento amparado por la
presunción de licitud que contempla el artículo 20 de la LOPDGDD ya que la deuda
requerida objeto de inclusión en los ficheros de solvencia aún no es cierta ni exigible al
encontrarse en un proceso judicial en curso.
VI
Propuesta de sanción por la infracción del artículo 6.1 del RGPD
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá
de todos los siguientes poderes correctivos indicados a continuación:
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
Asimismo el artículo 72.1 b) de la LOPDGDD señala que “en función de lo que
establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y
prescribirán a los tres años las infracciones que supongan una vulneración sustancial
de los artículos mencionados en aquel y en particular, las siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.”
Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente (artículo 83.2 b) ya
que se incluyen los datos personales de la parte reclamante en ficheros de
solvencia, pese a encontrarse la deuda objeto de inclusión en procedimiento
judicial en curso. Además, hay que tener en cuenta que se mantuvieron los datos
del reclamante a pesar de tener conocimiento del procedimiento judicial.
La vinculación con el tratamiento de datos personales, por parte de la
entidad recamada, al ser una entidad que presta servicios financieros a sus
usuarios, según el artículo 76.2 b) de la LOPDGDD.
Procede graduar la sanción a imponer al denunciado y fijarla en la cuantía de 70.000 €
de conformidad con el artículo 58.2 del RGPD.
VII
Adopción de medidas
De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
En este caso concreto se ha indicado por la parte reclamada que los datos personales
de la parte reclamante ya no obran en el fichero de solvencia.
No obstante, se le requiere a la parte reclamada para que, en el plazo de un mes
desde la recepción de la resolución de este procedimiento sancionador, acredite que
se han adoptados las medidas de seguridad necesarias para que hechos como el que
nos ocupa, es decir, incorporar los datos personales de sus clientes en ficheros de
solvencia patrimonial por una deuda no cierta, no sea posible, ni siquiera como
consecuencia de un error técnico.
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
Que por la Directora de la Agencia Española de Protección de Datos se sancione a
IDFINANCE SPAIN, S.A.U., con NIF A66487190, por una infracción del artículo 6 del
RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 70.000 euros
(setenta mil euros)
Que por la Directora de la Agencia Española de Protección de Datos se ordene a
IDFINANCE SPAIN, S.A.U., con NIF A66487190, que en virtud del artículo 58.2.d) del
RGPD, acredite en el plazo de un mes desde la recepción de la resolución de este
procedimiento sancionador, se acredite que los datos personales de la reclamante ya
no obran en ningún fichero de solvencia patrimonial por requerimiento de la parte
reclamada por una deuda no cierta, y que se están aplicando nuevas medidas de
mejora que evitan la inscripción indebida en ficheros de solvencia patrimonial, por un
error técnico.
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 56.000€ (cincuenta y seis mil euros),
euros y su pago implicará la terminación del procedimiento, sin perjuicio de la
imposición de las medidas correspondientes. La efectividad de esta reducción estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00 0000 0000 0000
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
926-070623
B.B.B.
INSPECTOR/INSTRUCTOR
>>
SEGUNDO: En fecha 16 de mayo de 2024, la parte reclamada ha procedido al pago
de la sanción en la cuantía de 56000 euros haciendo uso de la reducción prevista en
la propuesta de resolución transcrita anteriormente.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.
CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Directora, se impusiera al
responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202313713, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: ORDENAR a IDFINANCE SPAIN, S.A.U. para que en el plazo de 1 mes
desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho de la
propuesta de resolución transcrita en la presente resolución.
TERCERO: NOTIFICAR la presente resolución a IDFINANCE SPAIN, S.A.U..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1331-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es