1/15
Expediente N.º: EXP202317282
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 21 de mayo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a BANCO CETELEM,
S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe:
<<
Expediente N.º: EXP202317282
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de octubre de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra BANCO CETELEM, S.A. con NIF A78650348 (en
adelante, CETELEM). Los motivos en que basa la reclamación son los siguientes:
La parte reclamante manifiesta que CETELEM carga en su cuenta bancaria recibos de
un préstamo de un tercero desconocido. Aporta varios extractos de dichos recibos, así
como varias reclamaciones ante CETELEM junto con sus contestaciones, incluso una
denuncia policial. Hay una primera serie de 8 recibos indebidamente cargados a la
cuenta del reclamante nº ***CUENTA.1, entre los meses de julio y septiembre de 2022,
a razón de dos recibos por mes.
El 8 de agosto de 2022, la parte reclamante protestó ante CETELEM por el uso
indebido de su cuenta bancaria, solicitando la supresión de los datos de su cuenta
bancaria; exige además una explicación sobre la obtención de sus datos sin relación
contractual previa. También reprochaba a CETELEM la atribución de su cuenta
bancaria a una tercera persona, sin solicitarle previamente el certificado de titularidad
bancaria pertinente. Adicionalmente, la parte reclamante solicitó y logró la devolución
del importe de los recibos indebidamente cobrados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/15
Nuevamente un año después, en septiembre de 2023 desde CETELEM se carga en la
cuenta de la parte reclamante un nuevo recibo de la misma deudora. La parte
reclamante presenta una nueva reclamación a CETELEM el 21/09/23; no obstante,
CETELEM volvió a cargar un nuevo recibo el día 2/10/23.
Reacciona CETELEM el 20/10/23 acusando recibo de la reclamación, y, en su
contestación de 23/10/23, justifica su actuación en que el número de la cuenta del
reclamante es el que aparece en el contrato.
Paralelamente el reclamante ha presentado también una denuncia en comisaría de
***LOCALIDAD.1 el 18 de septiembre de 2023.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte
reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 04 de diciembre de 2023,
como consta en el acuse de recibo que obra en el expediente.
TERCERO: El 22 de diciembre de 2023 contesta CETELEM al requerimiento de
información de la AEPD.
CETELEM informa de que suprimió los datos de la cuenta del reclamante de su base
de datos tras la primera reclamación, pero que vendió la deuda a una tercera empresa
en junio 2023, y que en el contrato seguían figurando erróneamente el número de la
cuenta bancaria del reclamante.
A juicio de CETELEM, la responsabilidad por este nuevo incidente correspondería a la
nueva empresa; no obstante, asumió las gestiones para resolver la nueva serie de
cargos indebidos en la cuenta del reclamante. Concluye finalmente que los cargos
indebidos de 2022 y 2023 en la cuenta del reclamante se han debido a errores
humanos.
CUARTO: Con fecha 29 de diciembre de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
BANCO CETELEM, S.A. es una empresa constituida en el año 1988 y con un volumen
de negocios 64.855.216 euros en el año 2022.
FUNDAMENTOS DE DERECHO
I
Competencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/15
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Obligación incumplida
Tratamiento inicial sin licitud artículo 6
En el artículo 4.1 del RGPD “Definiciones” se estable que:
“ A efectos del presente Reglamento se entenderá por:
1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.”
Artículo 6 Licitud del tratamiento
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/15
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
CETELEM dispone del número de cuenta bancaria de la parte reclamante. A través de
este número de identificación, el titular de la cuenta es una persona física identificable,
por lo que este dato tendría el carácter de dato personal, de conformidad con el
artículo 4 del RGPD. Reconoce CETELEM en varios de sus escritos, que el número de
cuenta bancaria de la parte reclamante aparece en el contrato de una deudora, y, por
ende, también en la base de datos de CETELEM. Por esa razón, se cobran los recibos
de esta deudora del banco en la cuenta bancaria del reclamante.
Aunque CETELEM parece apuntar, en su descargo, a errores en la transcripción inicial
del número de cuenta, los dígitos de control de las cuentas bancarias prácticamente
imposibilitan la “creación” por error de un número de cuenta auténtico.
Esto significa, como indica el reclamante, que este error se debe a que CETELEM
habría incorporado la cuenta bancaria del reclamante en el contrato de la deudora, sin
asegurarse de la titularidad de la cuenta.
A la vista de lo expuesto, parece claro CETELEM dispondría inicialmente del número
completo de la cuenta bancaria del reclamante, pero no aclara satisfactoriamente
cómo ha podido aparecer esta información en un contrato de un cliente de CETELEM,
habida cuenta que el reclamante que no tiene, ni ha tenido relación contractual previa
con esta entidad.
Entre los meses de julio y septiembre de 2022, CETELEMA carga indebidamente serie
de 8 recibos en la cuenta del reclamante nº ***CUENTA.1, a razón de dos recibos por
mes. El 8 de agosto de 2022, la parte reclamante protestó ante CETELEM por el uso
indebido de su cuenta bancaria, solicitando la supresión de los datos de su cuenta
bancaria.
En septiembre de 2023 desde CETELEM se carga en la cuenta de la parte reclamante
un nuevo recibo de la misma deudora. La parte reclamante presenta una nueva
reclamación a CETELEM el 21/09/23; no obstante, CETELEM volvió a cargar un
nuevo recibo el día 2/10/23.
CETELEM disponía del número de cuenta del reclamante desde 2022, primero en su
base de datos y en el contrato de la deuda, y en 2023 su número de cuenta en el sigue
en el contrato de la deudora, sin que haya rectificado, ni suprimido este dato.
CETELEM declara que ha transferido además la cuenta del reclamante a una tercera
empresa en junio de 2023 con la venta de la deuda.
De este modo CETELEM habría tratado información personal del reclamante sin
licitud, dado que no media consentimiento, ni existe obligación legal, ni contractual,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/15
que justifique su tratamiento y como consecuencia de este tratamiento, el reclamante
ha soportado diversos cargos de una deuda en su cuenta durante varios meses en
2022 y 2023, de una deuda cuyo titular era otra persona.
III
Tipificación y calificación de la infracción
De conformidad con las evidencias de las que se dispone en el momento presente, y
sin perjuicio de lo que resulte de la instrucción y según lo hechos conocidos, el
reclamante resulta identificable a través de su número de cuenta bancaria en la que
CETELEM carga una serie de recibos.
La parte reclamante no es el titular de las deudas cargadas y no tiene, ni ha tenido
relación contractual previa alguna con CETELEM. Esto significa que CETELEM realiza
este tratamiento sin licitud, al no disponer del consentimiento del interesado.
Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte
a CETELEM, del artículo 6 del RGPD (Licitud del tratamiento), por un tratamiento sin
base de legitimación.
Esta infracción del artículo del RGPD está tipificada en el artículo 83. 5. a) como sigue:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72.1.b de la LOPDGDD, que califica de
muy grave la siguiente conducta:
“b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”
IV
Propuesta de sanción
Esta infracción puede ser sancionada con multa administrativa de 20 000 000 EUR
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía.
El artículo 83.2 del RGPD sobre condiciones generales para la imposición de multas
administrativas establece se impondrán, en función de las circunstancias de cada caso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/15
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo
58, apartado 2, letras a) a h) y j).
En el caso presente procedería aplicar el apartado a) que establece:
“a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;”
La naturaleza y el alcance del tratamiento afecta a derechos patrimoniales del
reclamante al realizar CETELEM cargos en su cuenta bancaria.
El artículo 76.2 de la LOPDGDD, relativo a sanciones y medidas correctivas establece
lo siguiente en letra b):
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales”.
CETELEM es una entidad bancaria, por lo que tiene una vinculación cualificada en la
realización de tratamientos de datos personales, en especial, con la exactitud en su
tratamiento.
A la vista de lo anteriormente expuesto, se propone una multa de 100.000€.
V
Obligación incumplida
Derecho de supresión 17 1. d) del RGPD
Por su parte, el artículo 17 del RGPD, relativo al derecho de supresión, establece lo
siguiente en el apartado 1 d):
“El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la supresión de los datos personales que le conciernan, el cual estará
obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna
de las circunstancias siguientes:
(…)
d) los datos personales hayan sido tratados ilícitamente;
(…)”
En septiembre y octubre 2023, según los resguardos bancarios aportados por la parte
reclamante, volvió CETELEM a realizar nuevos cargos en su cuenta. Reconoce
CETELEM su incumplimiento del derecho de supresión solicitado, cuando declara, que
la rectificación y supresión de la cuenta del reclamante tuvo lugar sólo en la base de
datos, pero no en el contrato que era la base jurídica de la deuda.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/15
La obligación por parte del responsable del fichero de proceder a la supresión sin
dilación de los datos ilícitamente tratados se recoge también en el artículo 5.1.d) del
RGPD:
1. Los datos personales serán:
(…)
d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»);
(…)
2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto
en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).
A la vista de los hechos descritos, parece claro que CETELEM, sólo habría limitado a
suprimir los datos del reclamante sólo de la base de datos, pero no del contrato.
CETELEM más de 1 año después de la reclamación, no ha adoptado todas las
medidas razonables para la supresión y rectificación sin dilación de datos de la parte
reclamante.
VI
Tipificación y calificación de la infracción
De conformidad con las evidencias disponibles en el momento presente y sin perjuicio
de lo que resulte de la instrucción, se considera que CETELEM no ha suprimido
efectivamente el número de la cuenta del reclamante en septiembre y octubre de
2023. Según su propia declaración CETELEM sólo habría procedido a la supresión en
la base de datos, pero no en el contrato base de los cargos indebidos, a pesar del
ejercicio del derecho de supresión sin el consentimiento del interesado el 8 de agosto
de 2022.
Como consecuencia del tratamiento indebido indicado, CETELEM ha vuelto a realizar
cargos injustificados de otra persona en la cuenta del reclamante.
Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte
a CETELEM, del artículo 17.1.d) del RGPD, relativo al derecho de supresión, que
establece lo siguiente:
“1) El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la supresión de los datos personales que le conciernan, el cual estará
obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna
de las circunstancias siguientes:
(…)
d) los datos personales hayan sido tratados ilícitamente;
(…)”
Esta infracción del artículo del RGPD está tipificada en el artículo 83. 5. b) como sigue:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/15
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
b) los derechos de los interesados a tenor de los artículos 12 a 22;”
A efectos del plazo de prescripción de las infracciones, al tratarse de un
incumplimiento puntual del derecho de supresión, la infracción imputada prescribe al
año, conforme al artículo 74.1.c de la LOPDGDD, que califica de leve la siguiente
conducta:
“c) No atender las solicitudes de ejercicio de los derechos establecidos en los artículos
15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto
en el artículo 72.1.k) de esta ley orgánica”.
VII
Propuesta de sanción
Esta infracción puede ser sancionada con multa administrativa de 20 000 000 EUR
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía.
El artículo 83.2 del RGPD sobre condiciones generales para la imposición de multas
administrativas establece se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo
58, apartado 2, letras a) a h) y j).
En el caso presente procedería aplicar los apartados a) y b) que establecen:
“a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;”
La supresión efectiva del tratamiento solicitado ha superado con creces el plazo de 1
año, lo que se considera una agravante de la responsabilidad. El incumplimiento del
deber de exactitud de los datos, ha obligado a la parte reclamante a reiterar la
supresión de sus datos, llegando incluso la parte reclamante a presentar una denuncia
ante la policía, por estafa.
“b) la intencionalidad o negligencia en la infracción”.
La supresión del número de cuenta de la parte reclamante sólo en la base datos, pero
no en el contrato, apuntaría a un comportamiento negligente de CETELEM.
El artículo 76.2 de la LOPDGDD, relativo a sanciones y medidas correctivas establece
lo siguiente en letra b):
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/15
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales”.
CETELEM es una entidad bancaria, por lo que tiene una vinculación cualificada en la
realización de tratamientos de datos personales, en especial, con la exactitud en su
tratamiento.
A la vista de lo anteriormente expuesto se propone una multa de 50.000€.
VIII Obligación incumplida
Segundo tratamiento sin licitud artículo 6
En el artículo 4.2 del RGPD “Definiciones” se estable que:
“ A efectos del presente Reglamento se entenderá por:
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;” (…)
En septiembre y octubre 2023, se volvieron a realizar dos nuevos cargos en la cuenta
del reclamante para la misma deudora, lo que significa que CETELEM no habría
procedido a la supresión de los datos de la parte reclamante. CETELEM informa a la
AEAT al respecto en las actuaciones previas, que ha vendido la deuda a una tercera
empresa junto con el contrato que contiene los datos erróneos de la parte reclamante.
Afirma que, como consecuencia de la venta de la deuda, la responsabilidad sobre la
exactitud de los datos sería ya de la nueva empresa y que, no obstante, ha tenido a
bien encargarse de la resolución del nuevo incidente de cargos indebidos en la cuenta
del reclamante.
Con la cesión del número de cuenta corriente de la parte reclamante a un tercero,
realiza
CETELEM un nuevo tratamiento de datos (“comunicación por transmisión”, el artículo
4.2 del RGPD), para la que es necesario cumplir nuevamente con las condiciones de
licitud previstas en el artículo 6 del RGPD:
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/15
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
CETELEM carece ya en agosto de 2022 de la licitud para los datos de la cuenta
corriente de la parte reclamada; no dispone del consentimiento del interesado y el
tratamiento realizado no es necesario para el cumplimiento de una obligación legal o
contractual.
Se trata de una información que nunca debió tener y cuya supresión, solicitada por el
interesado. Desde el año anterior a esta cesión, CETELEM es conocedor de la falta de
licitud de este tratamiento, porque la parte reclamante ya había ejercido su derecho de
supresión por tratamiento ilícito de su número de cuenta bancaria.
CETELEM ha conservado la información reclamada indebidamente y con la venta de
la deuda, habría realizado un nuevo tratamiento, comunicando a una tercera empresa
los datos de la cuenta de la parte reclamada sin las condiciones de licitud previstas en
el artículo 6.1.a) del RGPD.
IX
Tipificación y calificación de la infracción
De conformidad con las evidencias de las que se dispone en el momento presente, y
sin perjuicio de lo que resulte de la instrucción CETELEM reconoce ante la AEPD la
cesión del número de cuenta de la parte reclamante a una tercera empresa, que es un
nuevo tratamiento llevado a cabo con la oposición manifiesta del interesado.
Los hechos conocidos podrían ser constitutivos de una infracción, imputable a
CETELEM, del artículo 6 del RGPD (licitud del tratamiento), por tratamiento
consistente en la cesión de datos de interesado a terceros sin el consentimiento del
interesado:
Esta infracción del artículo del RGPD está tipificada en el artículo 83. 5. a) como sigue:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72.1.b de la LOPDGDD, que califica de
muy grave la siguiente conducta:
“b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/15
X
Propuesta de sanción
Esta infracción puede ser sancionada con multa administrativa de 20 000 000 EUR
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía.
El artículo 83.2 del RGPD establece que las multas administrativas se impondrán, en
función de las circunstancias de cada caso individual, a título adicional o sustitutivo de
las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Por su parte,
el artículo 76 de la LOPDGDD, relativa a sanciones y medidas correctivas, establece
que:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
“ b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales”.
CETELEM es una entidad bancaria, por lo que tiene una vinculación cualificada en la
realización de tratamientos de datos personales, en especial, con la exactitud en su
tratamiento, por lo que reviste especial gravedad la obtención del número de la cuenta
bancaria del reclamante, su mantenimiento, a pesar del derecho de supresión del
interesado, y finalmente la cesión a un tercero sin comprobación efectiva de la
exactitud de los datos.
A la vista de lo anteriormente expuesto se propone una multa de 100.000€.
XI
Adopción de medidas
De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Podría acordarse, entonces, la adopción de medidas organizativas adecuadas para
evitar en el futuro errores como el producido en este caso en el plazo de 3 meses, así
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/15
como la comunicación de supresión del tratamiento a la empresa a la que CETELEM
cedió los datos de la parte reclamante, con motivo de la venta de la deuda.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a BANCO CETELEM, S.A.,
con NIF A78650348, por dos presuntas infracciones de los artículos 6 y una infracción
del artículo 17.1.d) del RGPD, todas ellas tipificadas en el artículo 83.5 del RGPD.
SEGUNDO: NOMBRAR como instructor/a a B.B.B. y, como secretario/a, a C.C.C.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).
TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por la parte reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de doscientos cincuenta mil euros
(250.000€), cien mil euros (100.000€) por la infracción inicial del art 6, cincuenta mil
(50.000€) por la infracción del artículo 17.1.d) y cien mil euros (100.000€) por la
segunda infracción del artículo 6, sin perjuicio de lo que resulte de la instrucción.
QUINTO: NOTIFICAR el presente acuerdo a BANCO CETELEM, S.A., con NIF
A78650348, otorgándole un plazo de audiencia de diez días hábiles para que formule
las alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de expediente que figura en el
encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/15
reducción, la sanción quedaría establecida en doscientos mil euros (200.000€),
resolviéndose el procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en doscientos mil euros (200.000€) y su pago
implicará la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en ciento cincuenta mil euros (150.000€).
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente doscientos mil euros (200.000€), ó ciento cincuenta mil
euros (150.000€) deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN:
ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a
nombre de la Agencia Española de Protección de Datos en la entidad bancaria
CAIXABANK, S.A., indicando en el concepto el número de referencia del
procedimiento que figura en el encabezamiento de este documento y la causa de
reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo sin que se haya dictado y notificado
resolución se producirá su caducidad y, en consecuencia, el archivo de actuaciones;
de conformidad con lo establecido en el artículo 64 de la LOPDGDD
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 31 de mayo de 2024, la parte reclamada ha procedido al pago
de la sanción en la cuantía de 150000 euros haciendo uso de las dos reducciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/15
previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el Acuerdo de inicio.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/15
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento EXP202317282, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: ORDENAR a BANCO CETELEM, S.A. para que en el plazo de 3 meses
desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho del
Acuerdo de inicio transcrito en la presente resolución.
TERCERO: NOTIFICAR la presente resolución a BANCO CETELEM, S.A..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1259-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es