Arabuluculuk Raporundaki Kişisel Veriler

1/14

Expediente N.º: EXP202315571

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 9 de septiembre de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a QUIRÓN
PREVENCIÓN, S.L.U. (en adelante, la parte reclamada), mediante el Acuerdo que se
transcribe:

Expediente N.º: EXP202315571

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Con fecha 05/10/2023, tuvo entrada en esta Agencia un escrito presentado
por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación
contra QUIRÓN PREVENCIÓN, S.L.U. con NIF B64076482 (en adelante, QUIRÓN
PREVENCIÓN), por un posible incumplimiento de lo dispuesto en la normativa de
protección de datos de carácter personal.

Los motivos en que basa la reclamación son los siguientes:

La parte reclamante manifiesta que, como consecuencia de la denuncia que presentó
ante la Inspección de Trabajo y Seguridad Social por posibles situaciones de
hostigamiento hacia ella en el ámbito laboral, se siguió un proceso de mediación entre
la parte reclamante y otros trabajadores implicados en los hechos; donde se les
informó de que se iban a proteger los datos personales debido a la gravedad de las
acusaciones.

Cuando se trasladó el informe final de mediación por QUIRÓN PREVENCIÓN, los
datos personales de la parte reclamante y de los denunciados se mostraban (se
aprecian borrosos, pero se pueden leer). No obstante, cuando la parte reclamante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/14

advirtió al responsable del informe sobre esta situación, los datos personales sí
aparecían tachados.

Por último, la parte reclamante indica que el proceso está judicializado, pero considera
nefasta la gestión que ha hecho QUIRÓN PREVENCIÓN de sus datos personales.

Junto a la reclamación aporta, entre otros, los siguientes documentos:

 Copia del informe de mediación emitido en fecha ***FECHA.1 por QUIRÓN
PREVENCIÓN con sus anexos (Informe de MEDIACIÓN COMO ASESORES
EXTERNOS EN SITUACIONES DE INDICADORES DE RIESGO
PSICOSOCIAL POR CONFLICTO INTERNO EN EL LUGAR DE TRABAJO).
En su contenido figuran los siguientes datos personales de la parte reclamante
y de los denunciados (nombre y apellidos, DNI, número de móvil y correo
electrónico):

o Parte reclamante: A.A.A., DNI ***NIF.1, ***TELÉFONO.1, ***EMAIL.1.

o Partes denunciadas:
 B.B.B., DNI ***NIF.2, ***TELÉFONO.2, ***EMAIL.2.
 C.C.C., DNI ***NIF.3, ***TELÉFONO.3, ***EMAIL.3.

 Captura de pantalla de los siguientes correos electrónicos:

o Correo electrónico enviado en fecha ***FECHA.2 por la parte
reclamante (***EMAIL.1) a los servicios de mediación de QUIRÓN
PREVENCIÓN (***EMAIL.4) advirtiendo que se reflejan datos
personales en el informe final de mediación. Su contenido es el
siguiente:

(…).

o Correo electrónico de fecha ***FECHA.3 enviado por QUIRÓN
PREVENCIÓN (***EMAIL.4) a, entre otros, la parte reclamante con 3
documentos PDF relativos a “Informe de Mediación”, “Acta inicio” y
“Acta final XXXXX”.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 03/11/2023 se dio traslado de dicha reclamación a QUIRÓN
PREVENCIÓN, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 03/11/2023 como consta en el
acuse de recibo que obra en el expediente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/14

Con fecha 04/12/2023 se recibe en esta Agencia escrito de respuesta de QUIRÓN
PREVENCIÓN en el que, en síntesis, reconoce haber enviado un correo electrónico en
fecha 02/11/2023 al personal técnico de su entidad y a las partes interesadas y
participantes en la mediación laboral, con el informe final de mediación en cuyo
contenido figuran datos personales de los participantes.

Asimismo, QUIRÓN PREVENCIÓN señala que las partes que intervinieron en la
mediación “aceptaron el proceso de mediación formalmente y fueron expresamente
informadas no solo del objeto de la mediación, sino de sus obligaciones en materia de
confidencialidad”. Por tanto, las partes intervinientes quedan sujetas a no “revelar la
información que hubiera podido obtener derivada del procedimiento”.

Junto al escrito aporta copia del Informe Final de Mediación con sus anexos.

TERCERO: Con fecha 28/12/2023, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
QUIRÓN PREVENCIÓN, S.L.U. es una gran empresa constituida en el año 2006,
perteneciente al Grupo económico HELIOS HEALTHCARE SPAIN, S.L. y con una cifra
de negocios de casi 400.000.000 euros en el año 2023.

FUNDAMENTOS DE DERECHO

I
Competencia y procedimiento

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que QUIRÓN
PREVENCIÓN realiza la recogida, utilización y conservación de, entre otros, los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/14

siguientes datos personales de personas físicas: nombre y apellidos, DNI, número de
móvil y correo electrónico.

QUIRÓN PREVENCIÓN realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD.

Dentro de los principios del tratamiento previstos en el artículo 5 del RGPD, la
integridad y confidencialidad de los datos personales se garantiza en el apartado 1
letra f) del citado artículo. Por su parte, la seguridad de los datos personales viene
regulada en el artículo 32 del RGPD, que reglamenta la seguridad del tratamiento.

III
Principio de integridad y confidencialidad

El artículo 5.1.f) “Principios relativos al tratamiento” del RGPD establece:

“1. Los datos personales serán:

(…)

f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y
contra su pérdida, destrucción o daño accidental, mediante la aplicación de
medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).”

En el presente caso, consta que, con fecha ***FECHA.1, QUIRÓN PREVENCIÓN
remitió un correo electrónico a la parte reclamante con una copia del Informe final de
mediación laboral y sus anexos en el que figuraban sus datos personales y los de los
denunciados, como nombre y apellidos, DNI, número de móvil y correo electrónico.

Por su parte, QUIRÓN PREVENCIÓN reconoció en su contestación al traslado haber
enviado el mencionado correo electrónico, pero solo a su personal técnico y a las
partes intervinientes en el proceso de mediación laboral, estando obligadas las
mismas a guardar secreto y garantizar la confidencialidad de los mismos.

No obstante, resulta evidente que QUIRÓN PREVENCIÓN en el informe emitido
expuso indebidamente determinados datos personales de, entre otros, la parte
reclamante y los denunciados, al no aparecer anonimizados sus DNI, números de
móvil o correos electrónicos en el envío realizado. Ello supone una vulneración de la
obligación de la entidad reclamada de garantizar la confidencialidad de los datos,
poniendo en conocimiento de las partes intervinientes los datos personales
anteriormente citados.

Asimismo, la documentación que obra en el expediente administrativo ofrece indicios
suficientes para entender que QUIRÓN PREVENCIÓN carece de las medidas técnicas
y organizativas apropiadas a las que se refiere el artículo mencionado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/14

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de
la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una
infracción, imputable a QUIRÓN PREVENCIÓN, por vulneración del artículo 5.1.f) del
RGPD.

IV
Tipificación y calificación de la infracción del artículo 5.1.f) del RGPD

De confirmarse, la citada infracción del artículo 5.1.f) del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)”

V
Propuesta de sanción por la infracción del artículo 5.1.f) del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
los siguientes criterios que establece el artículo 83.2 del RGPD:

Como agravantes:

 La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (apartado a). La conducta infractora es grave
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/14

puesto que acarrea una pérdida de confidencialidad y, por tanto, de disposición
y control irremediable sobre los datos personales de los afectados, que no es
únicamente la parte reclamante, sino también los dos denunciados.

 La intencionalidad o negligencia en la infracción (apartado b). La negligencia
apreciada en la comisión de la infracción, considerando que existe un conflicto
entre los afectados derivado de una situación de hostigamiento en el ámbito
laboral hacia la parte reclamante, siendo más necesario aún evitar que en
estos procesos las partes tengan acceso a los datos personales del resto.

 Las categorías de los datos de carácter personal afectados por la infracción
(apartado g). El Informe final de mediación laboral contiene el dato personal
relativo al DNI de, entre otros, la parte reclamante. Este dato se considera
particularmente sensible en tanto en cuanto, si el tratamiento de este dato no
va acompañado de las medidas técnicas y organizativas necesarias para
garantizar que quien se identifica con él es realmente su titular, un tercero
puede suplantar la identidad de una persona física con los riesgos que ello
entraña para la privacidad, el honor y el patrimonio del suplantado.

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:

 La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (apartado b). La actividad de QUIRÓN PREVENCIÓN
requiere un tratamiento habitual de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 30.000€ (treinta mil euros).

VI
Seguridad del tratamiento

El Artículo 32 “Seguridad del tratamiento” del RGPD establece:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;

a) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/14

b) la capacidad de restaurar la disponibilidad y el acceso a los datos personales
de forma rápida en caso de incidente físico o técnico;

c) un proceso de verificación, evaluación y valoración regulares de la eficacia de
las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos eel apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

En el presente caso, el envío del Informe final de mediación laboral y sus anexos
mediante correo de ***FECHA.1 a la parte reclamante sin anonimizar los datos de los
intervinientes evidencia una falta de medidas por parte de QUIRÓN PREVENCIÓN. Es
más, la propia entidad reclamada es consciente de la irregularidad de la comunicación
de datos, ya que un día después de la advertencia de la parte reclamante la entidad
envío de nuevo el informe de mediación con los datos tachados.

Por otra parte, QUIRÓN PREVENCIÓN no ha acreditado las medidas de seguridad
con que cuenta para evitar que los documentos que redactan recojan datos personales
de los intervinientes en los procesos sin anonimizar. Como responsable del tratamiento
debería tener implantadas medidas de seguridad y asegurar su cumplimiento, extremo
que no consta en esta Agencia hasta el momento.

En consecuencia, de conformidad con las evidencias de las que se dispone en este
momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que
resulte de la instrucción, se considera que los hechos conocidos podrían ser
constitutivos de una infracción, imputable a QUIRÓN PREVENCIÓN, por vulneración
del artículo 32 del RGPD.

VII
Tipificación y calificación de la infracción del artículo 32 del RGPD

De confirmarse, la citada infracción del artículo 32 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/14

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11,
25 a 39, 42 y 43; (…)”

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para garantizar un nivel de seguridad adecuado al riesgo del
tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE)
2016/679”. (…)

VIII
Propuesta de sanción por la infracción del artículo 32 del RGPD

Como agravantes:

 La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (apartado a). No tener implantadas las medidas de
seguridad apropiadas al riesgo dio lugar a un acceso indebido a los datos
personales, no solo de la parte reclamante, sino también de los otros
denunciados.

9/14

 La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (apartado b). La actividad de QUIRÓN PREVENCIÓN
requiere un continuo tratamiento de datos personales.

IX
Adopción de medidas

De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

En tal caso, en la resolución que se adopte, esta Agencia podrá requerir a la entidad
responsable para que, en el plazo en el plazo de dos meses, adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
Fundamentos de Derecho del presente acuerdo y sin perjuicio de lo que resulte de la
instrucción.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/14

SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a QUIRÓN PREVENCIÓN,
S.L.U., con NIF B64076482, por:

 La presunta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5.a) del RGPD.

 La presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.a)
del RGPD.

SEGUNDO: NOMBRAR como instructor/a a D.D.D. y, como secretario/a, a E.E.E.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción,
sería:

 Por la supuesta infracción del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5 de dicha norma, multa administrativa de cuantía 30.000€ (treinta mil
euros).

 Por la supuesta infracción del artículo 32 del RGPD, tipificada en el artículo
83.4 de dicha norma, multa administrativa de cuantía 20.000€ (veinte mil
euros).

QUINTO: NOTIFICAR el presente acuerdo a QUIRÓN PREVENCIÓN, S.L.U., con NIF
B64076482, otorgándole un plazo de audiencia de diez días hábiles para que formule
las alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de expediente que figura en el
encabezamiento de este documento.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la LPACAP.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 40.000€ (cuarenta mil euros),
resolviéndose el procedimiento con la imposición de esta sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/14

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 40.000€ (cuarenta mil euros), y su pago implicará
la terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 30.000€ (treinta mil euros).

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en
vía administrativa contra la sanción.

A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción
indicando a cuál de las dos reducciones se acoge o si es a las dos.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (40.000€ o 30.000€) deberá hacerlo efectivo mediante su
ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código
XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de
referencia del procedimiento que figura en el encabezamiento de este documento y la
causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier
acción o recurso en vía administrativa contra la sanción para continuar con el
procedimiento en concordancia con la cantidad ingresada.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

935-050724
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/14

SEGUNDO: En fecha 24 de septiembre de 2024, la parte reclamada ha procedido al
pago de la sanción en la cuantía de 30.000 euros haciendo uso de las dos
reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.

TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica.

CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el Acuerdo de inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/14

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DECLARAR la terminación del procedimiento EXP202315571, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

SEGUNDO: ORDENAR a QUIRÓN PREVENCIÓN, S.L.U. para que en el plazo de 2
meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho del
Acuerdo de inicio transcrito en la presente resolución.

TERCERO: NOTIFICAR la presente resolución a QUIRÓN PREVENCIÓN, S.L.U..

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

1259-151024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/14

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Arabuluculuk Raporundaki Kişisel Veriler

Türkçe özet

Hukuki mesele

Sonuç

Karar metni