1/14
Expediente N.º: EXP202414976
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 19 de diciembre de 2024, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a CLUB RÁPIDO
DE BOUZAS (en adelante, CLUB BOUZAS), mediante el acuerdo que se transcribe:
<<
Expediente N.º: EXP202414976
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de
ciertos hechos que podrían constituir una posible infracción imputable a CLUB
RÁPIDO DE BOUZAS con NIF G36711513 (en adelante, CLUB BOUZAS).
Los hechos que se pone en conocimiento de esta autoridad son:
La Policía Local de ***LOCALIDAD.1 aporta Parte de Servicio de fecha 11/10/2024, a
raíz de una llamada de (...) del padre de un menor que juega en el (…) con sede en el
campo A.A.A., advirtiendo que en el exterior del mismo, “observó una caja de cartón
llena de documentación de jugadores pertenecientes al referido club, de muchas
temporadas, la mayor parte de los cuales eran de menores de edad, situada en el
interior de un contenedor de basura, ubicado en la vía pública sobre la acera y
próximo a la entrada principal del campo.” Dos Agentes de la Policía Local de
***LOCALIDAD.1 acudieron a la llamada y acompañados del requirente fueron al
contenedor donde manifiestan ver: “en el interior de un contenedor verde, situado en
la parte superior del mimo, con las solapas abiertas y visible para los viandantes
observan la caja de cartón llena de documentación, en la que se localizan cientos de
carnes y fichas federativas en las que figuran datos personales tipo: DNI, nombre y
apellidos, domicilio, fotografía…”. Los Agentes cogieron la caja y la trasladaron a la
Jefatura de Policía donde la inspeccionaron y detallaron su contenido en el Parte de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
Servicio. Posteriormente localizaron al gerente del (…) resultando ser B.B.B. con DNI:
***NIF.1 a quien mostraron toda la documentación hallada, manifestando este que
“estuvieron limpiando estos días y que alguien se debió confundir y tirar esa caja, pero
que desconoce quién.”
Inicialmente se cuenta con la siguiente documentación:
- Informe de la Policía Local de ***LOCALIDAD.1, señalado anteriormente (…).
- Reportaje fotográfico de la documentación localizada, realizado por la Policía
Local de ***LOCALIDAD.1 y que muestra:
o Carnés emitidos por la Federación Gallega de Fútbol donde
aparece: fotografía, nombre, apellidos y DNI de los jugadores.
o Fichas de jugadores en las que aparecen fotografía, nombre y
apellidos, DNI, domicilio, teléfono, copia DNI y datos de padres.
o Fotografías de jugadores con nombre y apellidos por detrás.
SEGUNDO: De acuerdo con el informe recogido de la herramienta AXESOR en fecha
20/11/2024, la entidad CLUB BOUZAS es una asociación constituida en el año 2017 y
con unos resultados de explotación para 2023 de (…) €.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
II
Procedimiento
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente Ley Orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
III
Cuestiones previas
Conviene tomar en consideración el detallado Informe de la Policía Local de
***LOCALIDAD.1:
“Siendo las 20:30 horas del día 08/10/2024 nos personamos en el exterior del campo
de fútbol Baltasar Pújales, sito en la calle Paz Andrade n.º 2 de Bouzas,
***LOCALIDAD.1, donde somos requeridos por: ***NIF.1, con DNI ***NIF.2 . Esta
persona manifiesta que es padre de un menor que juega en el club "(…)", con sede en
el campo A.A.A., y que en el exterior del mismo observó que había una caja de cartón
llena de documentación de jugadores pertenecientes al referido club de muchas
temporadas, la mayor parte de los cuales eran de menores de edad, situada en el
interior de un contenedor de basura ubicado en vía pública, sobre la acera y próximo a
la entrada principal del campo. El requirente acompaña a los actuantes hasta el
contenedor. En el interior de un contenedor verde, situada en la parte superior del
mismo, con las solapas abiertas, y visible para los viandantes, observan la caja de
cartón llena de documentación, en la que se localizan cientos de carnés y fichas
federativas en las que figuran datos personales tipo: DNI, nombre y apellidos,
domicilio, fotografía, etc. Los actuantes cogemos la caja y se introduce en vehículo
policial, trasladándola a Jefatura, lugar en que se inspecciona la caja y se observa que
en el interior de la misma hay:
- Un total de 1.444 carnés emitidos por la Federación Gallega de Fútbol donde
aparece: fotografía, nombre, apellidos y DNI de los jugadores.
- Cientos de fichas de jugadores en las que aparecen fotografía, nombre y
apellidos, DNI, domicilio, teléfono móvil, datos de uno de los padres: Nombre y
Apellidos, DNI, email, domicilio y n.º de teléfono móvil, además de una
fotocopia del DNI o del libro de familia. En muchas de ellas aparece un número
de cuenta para que se domicilien los pagos.
- Fotografías de jugadores con nombre y apellidos por detrás.
- Un DNI original sin el chip.
- Otra documentación del club.
Se localiza al gerente del (…)", resultando ser: B.B.B., con DNI ***NIF.1, y se le
informa de que se va a realizar un informe que será remitido a la AEPD,
mostrándole toda la documentación hallada, manifestando éste que estuvieron
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
limpiando estos días y que alguien se debió confundir y tirar esa caja, pero que
desconoce quién. Esta persona aporta datos del club: CIF: G-36711513,
nombre: "Club Rápido de Bouzas", domicilio: (…), ***LOCALIDAD.1, (…):
C.C.C., con nº de teléfono: ***TELÉFONO.1.
Dicha caja es recogida y todo su contenido es depositado en la Jefatura de la
Policía Local de ***LOCALIDAD.1, en un saco precintado con n.º de precinto
(…). Página (…) Jefatura Policía Local de ***LOCALIDAD.1”.
Por lo que respecta al anexo fotográfico, la Polía Local de ***LOCALIDAD.1 junto a la
fotografía le añade el titulo siguiente:
- Fotografía nº 1: Fichas en las que aparece fotografía, nombre y apellidos, DNI,
domicilio y copia DNI
- Fotografía nº 2: Ejemplo de ficha con fotografía, nombre y apellidos, DNI,
domicilio y copia DNI
- Fotografía nº 3: Fichas en las que aparece fotografía, nombre y apellidos, DNI,
domicilio, datos de uno de los padres o responsable legal y en muchas de ellas
una cuenta bancaria para domiciliar pagos.
- Fotografía nº 4: Fotografías con nombre y apellidos escritos en la parte
posterior. (se cuentan más de 100 fotografías).
- Fotografía nº 6: Carnés federativos de jugadores
- Fotografía nº 7: Total de documentación localizada.
- Fotografía nº 8: Total de documentación localizada (por esta Instructora se
aprecia que la documentación en su conjunto ocupa una mesa de escritorio de
oficina).”
En el presente caso, de acuerdo con lo establecido en los artículos 4.1 y 4.2 del
RGPD, consta la realización de un tratamiento de datos personales, toda vez que el
CLUB BOUZAS realiza, entre otros tratamientos, la recogida y conservación de datos
personales de personas físicas como su nombre y apellidos, su fotografía, fecha de
nacimiento, domicilio, correo electrónico y número de cuenta bancaria, entre otros.
CLUB BOUZAS realiza esta actividad en su condición de responsable del tratamiento,
dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD.
IV
Obligación incumplida. Integridad y confidencialidad
La letra f) del artículo 5.1 del RGPD propugna:
"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)."
En el presente caso, el CLUB BOUZAS, como responsable del tratamiento de los
datos personales de sus usuarios, estaba obligado a controlar que no se burlasen las
medidas de seguridad, sin embargo, según manifiesta su gerente alguien debió
confundirse y tiró esos documentos a un contenedor de basura. Con esta actuación,
se permitió el acceso no autorizado por parte de terceros, a cientos de datos
personales como nombre, apellidos, fotografía…, por cuanto dichos documentos
fueron vistos por el padre de un niño que juega en el Club, y que llamó a la Policía al
ver una caja de cartón llena de documentación de jugadores pertenecientes al referido
club de muchas temporadas, la mayor parte de los cuales eran de menores de edad.
El hecho de que fuese la actuación negligente de un empleado o tercero no exime al
Club de su responsabilidad, en cuanto responsable de la correcta utilización de las
medidas de seguridad que deberían haber garantizado que cientos de documentos no
acabasen en un contenedor de basura, a disposición de cualquiera que pasase por la
vía pública.
El almacenamiento en una caja de cartón de 1.444 carnés, cientos de fichas,
fotografías (en muchos casos de menores de edad), que cuentan con datos
personales como nombre y apellidos, dirección, número de teléfono etc., constataría la
falta de medidas organizativas para garantizar que el tratamiento de estos datos sea
seguro y confidencial. El CLUB BOUZAS debería haber extremado las medidas para
que nadie de su organización introdujese en una caja de cartón, de tan fácil acceso,
documentos mezclados de diferentes tipos, diferentes temporadas, menores de edad...
La inexistencia de medidas se demostraría también por el posterior depósito de dicha
caja en un contenedor de basura, reconociendo el gerente que no sabía quién lo había
hecho. De todo ello se deduciría que dicho Club no ha adoptado las medidas técnicas
y organizativas apropiadas a fin de preservar la confidencialidad y la integridad de los
datos que almacena, por cuanto tras introducirlos de forma poco ordenada en una caja
de cartón, “alguien” los consideró como “basura”. Bastaría con haber establecido
medidas organizativas adecuadas, implantarlas y utilizarlas con una diligencia
razonable.
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a CLUB BOUZAS,
por vulneración del artículo transcrito anteriormente.
V
Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del
artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;"
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."
VI
Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera con carácter previo, (…).
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que el balance de las circunstancias contempladas en el
artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
al vulnerar lo establecido en el artículo 5.1.f) del RGPD, permite fijar inicialmente una
sanción de multa administrativa de 500,00€ euros.
VII
Medidas correctivas
De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del Artículo 5.1.f) del
RGPD y Artículo 32 del RGPD, de acuerdo con lo establecido en el citado artículo
58.2.d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado
Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.
En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a CLUB
BOUZAS para que, en el plazo de 3 meses, a contar desde la fecha de ejecutividad de
la resolución finalizadora de este procedimiento, adopte las medidas siguientes:
- Acreditar la adopción de medidas técnicas y organizativas, a fin de preservar la
confidencialidad y la integridad de los datos personales de jugadores del Club
que almacena, y así garantizar el cumplimiento de lo dispuesto en el artículo
5.1 f) del RGPD.
- En relación con el tiempo de conservación de dichos datos, establecer un plazo
máximo de conservación de esa información, en relación con la necesidad de
acreditar, que dichos jugadores puedan seguir participando en competiciones,
pero suprimirla cuando abandonen el Club o bien ya no sea necesaria.
- Establecer un mecanismo seguro de destrucción de dicha información.
La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a CLUB RÁPIDO DE
BOUZAS, con NIF G36711513, por la presunta infracción de los Artículo 5.1.f) del
RGPD y Artículo 32 del RGPD, tipificadas, respectivamente en los artículos 83.4 y 83.5
del RGPD.
SEGUNDO: NOMBRAR como instructor/a a D.D.D. y, como secretario/a, a E.E.E.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).
TERCERO: INCORPORAR al expediente, a efectos probatorios, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de multa administrativa de 1.000,00 euros, sin
perjuicio de lo que resulte de la instrucción.
QUINTO: NOTIFICAR el presente acuerdo a CLUB RÁPIDO DE BOUZAS, con NIF
G36711513, otorgándole un plazo de audiencia de diez días hábiles para que formule
las alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el
encabezamiento de este documento.
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 800,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 800,00 euros y su pago implicará la terminación del
procedimiento, sin perjuicio de la imposición de las medidas correspondientes.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 600,00 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en
vía administrativa contra la sanción.
A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción
indicando a cuál de las dos reducciones se acoge o si es a las dos.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (800,00 euros o 600,00 euros), deberá hacerlo efectivo
mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier
acción o recurso en vía administrativa contra la sanción para continuar con el
procedimiento en concordancia con la cantidad ingresada.
En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo
sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma
electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.es) y
de la Sede electrónica (sedeagpd.gob.es), y que, de no acceder a ellas, se hará
constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el
procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de
correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y
que la falta de práctica de este aviso no impedirá que la notificación sea considerada
plenamente válida.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
1479-111124
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 2 de enero de 2025, CLUB BOUZAS ha procedido al pago de la
sanción en la cuantía de 600,00 euros haciendo uso de las dos reducciones previstas
en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y
su calificación jurídica.
TERCERO: CLUB BOUZAS ha renunciado expresamente a cualquier acción o
recurso en vía administrativa contra la sanción.
CUARTO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
III
Pago voluntario y reconocimiento de responsabilidad
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 600,00 euros y su pago implicaría la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.
Tras la notificación del citado acuerdo de inicio, CLUB BOUZAS ha procedido al
reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose
a las dos reducciones previstas y renunciando expresamente a cualquier acción o
recurso en vía administrativa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.
La suma de las citadas cuantías arroja una cantidad total 1.000,00 euros.
Tras haber procedido CLUB RÁPIDO DE BOUZAS al pronto pago y reconocimiento
de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción
de un 40% del total mencionado, lo cual supone la cantidad definitiva de 600,00 euros.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202414976, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: ORDENAR a CLUB RÁPIDO DE BOUZAS para que en el plazo de 3
meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho del
acuerdo de inicio transcrito en la presente resolución.
CUARTO: NOTIFICAR la presente resolución a CLUB RÁPIDO DE BOUZAS.
QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente
autoridad se acepta la renuncia expresamente manifestada por CLUB RÁPIDO DE
BOUZAS, no cabiendo en consecuencia la interposición de recurso potestativo de
reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de
acudir a la vía jurisdiccional contencioso-administrativa.
En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP,
dado que no cabe ningún recurso en vía administrativa al haber renunciado
expresamente, la presente resolución será firme y plenamente ejecutiva a partir de su
notificación.
No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
1259-180225
Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es