1/23
Expediente N.º: EXP202415922
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 2 de diciembre de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a TRIVE CREDIT
SPAIN, S.L. (en adelante, TRIVE). Notificado el acuerdo de inicio y tras analizar las
alegaciones presentadas, con fecha 29 de mayo de 2025 se emitió la propuesta de
resolución que a continuación se transcribe:
<<
Expediente n.º: EXP202415922
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 12 de marzo de 2024 por la Directora de la Agencia Española
de Protección de Datos se dictó resolución en el procedimiento de ejercicio de
derechos del expediente número EXP202315972 seguido contra TRIVE CREDIT
SPAIN, S.L. (en adelante, TRIVE).
En dicho procedimiento consta que la parte reclamante ejerció derecho de acceso de
los datos personales que le conciernen, sin que dicha solicitud resultara debidamente
atendida, dictándose resolución en la que se requería lo siguiente:
“PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha
infringido lo dispuesto en el Artículo 15 del RGPD e instar al TRIVE CREDIT SPAIN,
S.L., con NIF B87258091, para que, en el plazo de diez días hábiles desde que la
presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por
la que se atienda el derecho de Acceso ejercido o se deniegue motivadamente
indicando las causas por las que no procede atender la petición, de conformidad con
lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/23
como consecuencia de la presente Resolución deberán ser comunicadas a esta
Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la
comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a
los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará,
de acuerdo con el art. 58.2 del RGPD.”
SEGUNDO: La notificación de la resolución del procedimiento de ejercicio de
derechos, en la que se concedía a TRIVE el plazo de diez días hábiles para la
atención del ejercicio del derecho de acceso, se practicó conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), siendo recogida por
el responsable con fecha 12 de marzo de 2024.
TERCERO: Tras el transcurso del plazo indicado para que se realizaran las
actuaciones requeridas en dicha resolución y habiendo presentado la parte
reclamante, con fecha 19 de julio de 2024 y número de registro de entrada
REGAGE24e00055044978, escrito en el que manifestaba que la resolución no se
había cumplido, se remitió por dos veces a TRIVE un requerimiento para que, en el
plazo de cinco días hábiles, remitiera a la parte reclamante certificación del
cumplimiento de dicha resolución y, en el plazo de diez días hábiles, notificara a esta
Agencia las medidas adoptadas.
CUARTO: El referido requerimiento de información se notificó en ambas ocasiones
conforme a las normas establecidas en la LPACAP y fue recogido por TRIVE con
fechas 23 de agosto y el 1 de octubre de 2024, como consta en los acuses de recibo
que obran en el expediente.
QUINTO: Transcurrido el plazo de la resolución inicial y de los sucesivos
requerimientos, TRIVE no ha remitido respuesta a esta Agencia que acredite que ha
atendido el derecho de acceso ejercido o que lo ha denegado motivadamente
indicando las causas por las que no procede atender la petición.
SEXTO: Contra la citada resolución no cabe ningún recurso ordinario en vía
administrativa por el transcurso de los plazos establecidos para ello. Asimismo, el
interesado no ha manifestado su intención de interponer recurso contencioso-
administrativo, ni esta Agencia tiene constancia de que el mismo se haya interpuesto y
se haya solicitado suspensión cautelar de la resolución.
SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
TRIVE CREDIT SPAIN, S.L. es una gran empresa constituida en el año 2015 y con un
volumen de negocios de 102.729.479 euros en el año 2022.
OCTAVO: Con fecha 2 de diciembre de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a TRIVE, por la
presunta infracción del Artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento
General de Protección de Datos, en adelante RGPD), tipificada en el Artículo 83.6 del
RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/23
NOVENO: El citado acuerdo de inicio fue notificado a TRIVE, conforme a las normas
establecidas en la LPACAP, con fecha 3 de diciembre de 2024, como consta en el
acuse de recibo que obra en el expediente.
DÉCIMO: Con fecha 18 de diciembre de 2024 y número de registro de entrada
REGAGE24e00094613605, TRIVE presenta escrito de alegaciones al acuerdo de
inicio en el que manifiesta lo siguiente.
TRIVE alega que, en lo que respecta a la protección de datos, tiene un delegado de
protección de datos, y tiene contratada a la firma ***EMPRESA.1, “de la que se ayuda
para realizar actuaciones de auditoría general y soporte, tales como la recepción de
las notificaciones realizadas por cualquier organismo de consumo o entidad
gubernamental, estatal o regional” y “ha implementado los siguientes protocolos y
procedimientos para tratar de asegurar el cumplimiento de la normativa en materia de
protección de datos: (i) ‘Data Breach Procedure’, (ii) ‘Data Subjects’ Rights
Management Procedure’, (iii) ‘Privacy Procedure’, y (iv) ‘Standard Contractual Clauses
to Ensure Compliance with GDPR’.”
TRIVE señala que “Como acreditan las últimas cuentas anuales de 2023 de Trive,
auditadas por ***EMPRESA.2, el negocio de mi mandante ha bajado en comparación
con el ejercicio de 2022. En 2023 el importe neto de la cifra de negocio se ha reducido
hasta los 96.785.401,35 € y el resultado del ejercicio ha disminuido desde los
10.025.095 € de 2022 hasta 1.122.703,85 € en 2023”.
TRIVE afirma que “El Reclamante es un antiguo cliente de Trive, que ha iniciado una
batalla judicial contra mi representada. La reclamación formulada ante la AEPD de la
que trae causa este expediente forma parte de su estrategia de confrontación, que se
ha materializado en dos demandas judiciales, 80 llamadas telefónicas y al menos dos
reclamaciones ante la AEPD. Todo ello, como reconoce el Reclamante, “debidamente
asesorado” y con el propósito de perjudicar a Trive.
(…) Con fecha 28 de enero de 2023, A.A.A. ejercitó el derecho de supresión «de sus
datos en mykredit, como el cierre de la cuenta de manera indefinida». Trive tramitó
dicho ejercicio de derecho con fecha 8 de febrero de 2023, procediendo al bloqueo de
sus datos en cumplimiento del artículo 32 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(“LOPDPGDD”).
De esa fecha en adelante todos los datos no bloqueados tratados por Trive se refieren,
en esencia y principalmente, a datos facilitados por el propio Reclamante a través de
las llamadas telefónicas efectuadas por el mismo.”
TRIVE se refiere a un “abuso de derecho de A.A.A.”.
“Tras la formalización del último de los Préstamos, el Reclamante comenzó a solicitar
a mi representada la declaración de nulidad de los Préstamos, lo que, en última
instancia y en lo que interesa, desembocó en la presentación de dos demandas
judiciales en 2023, que han dado lugar a los procedimientos ordinarios
***PROCEDIMIENTO.1 y ***PROCEDIMIENTO.2, actualmente en curso (los
“Procedimientos Judiciales”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/23
Simultáneamente, el Reclamante comenzó a realizar llamadas telefónicas y a ejercitar
derechos de acceso frente a Trive.”
TRIVE dice que “En lo que respecta a los derechos de acceso ejercitados por el
Reclamante, solo en 2023 se realizaron hasta tres peticiones que fueron debidamente
respondidas por Trive (al mismo tiempo que se sucedían las llamadas en las que los
operadores de Trive recordaban al A.A.A. que había solicitado su derecho de
supresión en enero de 2023).
En lo referente al derecho de acceso de 10 de agosto de 2023 (base de la
reclamación de A.A.A. que origina este expediente), lo cierto es que esa petición
también fue respondida. En efecto, como evidencian los emails aportados, lo que
verdaderamente ocurrió es lo siguiente:
Escasos días antes, el 24 de julio de 2023, el Reclamante solicitó copia de los
Préstamos. Y esa documentación se le aportó hasta en dos ocasiones, la última el 10
de agosto de 2023 a las 16:09 (todo ello, naturalmente, teniendo en consideración que
antes, el 28 de enero de 2023, había ejercido su derecho de supresión, lo que no se
podía ignorar).
Y lo que hizo en ese momento A.A.A. fue enviar un nuevo correo electrónico el mismo
el 10 de agosto de 2023, pero tan solo 4 minutos después (a las 16:13) y en una
cadena de emails diferente, en la que solicitaba una vez más exactamente lo mismo
(i.e., lo ya pedido y concedido).
Los días siguientes se intercambiaron emails, siempre sobre la primera cadena, en la
que se explicaba al Reclamante que se le habían proporcionado todos los Préstamos
disponibles.
Según parece, A.A.A. solo habría hecho referencia en su reclamación a uno de esos
e-mails de 10 de agosto de 2023, sin mencionar todo el resto de hechos que
ocurrieron.”
TRIVE alude a la “confusión generada por dos procedimientos prácticamente
idénticos”. Al respecto, TRIVE dice que “Como consta en el expediente, mientras se
cursan los Procedimientos Judiciales, A.A.A. interpuso el 19 de septiembre de 2023
su reclamación ante la AEPD”, la cual “originó el presente procedimiento sancionador
N.º 202315972 (el “Procedimiento 1.0”).
Con independencia del Procedimiento 1.0, y hasta donde conoce esta parte, el
Reclamante presentó al menos una reclamación más ante la AEPD, el 19 de julio de
2024. En esa ocasión el A.A.A. denunció que, en relación con otra de las 80 llamadas
efectuadas, su derecho de acceso a los datos tratados por Trive no habría sido
atendido, lo que dio lugar a que la AEPD incoara el procedimiento de ejercicio de
derechos N.º 202413243 (el “Procedimiento 2.0”).
El Procedimiento 1.0 y Procedimiento 2.0 traen causa de ejercicios de derechos muy
similares, se refieren al mismo interesado y se han solapado temporalmente. Además,
esta Agencia envió requerimientos de información a Trive prácticamente idénticos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/23
(…) La similitud entre los procedimientos, su coincidencia temporal, la anómala
beligerancia mostrada por A.A.A. y el hecho de que esta fuera la primera ocasión en
la que Trive estaba involucrada en un proceso de esta naturaleza en sus casi 10 años
de vida societaria, provocó que Trive confundiera ambos casos y pensase —
equivocadamente— que solo se estaba tramitando uno.
Ahora bien, y esto es ilustrativo, nótese que el caos generado por el A.A.A. no solo
confundió a Trive sino que también ha afectado a la propia Agencia. En efecto, en el
Acuerdo de Incoación se indica lo siguiente:
En su Hecho Tercero se dice que «tras el transcurso del plazo indicado para que se
realizaran las actuaciones requeridas en dicha resolución y habiendo presentado la
parte reclamante, con fecha 19 de julio de 2024 y número de registro de entrada
REGAGE24e00055044978, escrito en el que manifestaba que la resolución no se
había cumplido, se remitió por dos veces a Trive un requerimiento».
No obstante, el 19 de julio de 2024 fue la fecha en la que A.A.A. presentó la
reclamación que provocó el inicio del Procedimiento 2.0, y no este expediente.
En su Hecho Cuarto se afirma que «el referido requerimiento de información se
notificó en ambas ocasiones conforme a las normas establecidas en la LPACAP y fue
recogido por TRIVE con fechas 23 de agosto y el 1 de octubre de 2024, como consta
en los acuses de recibo que obran en el expediente».
Sin embargo, ninguna notificación del Procedimiento 1.0 se realizó en octubre de
2024. En esa fecha la única notificación que tuvo lugar es la relativa al traslado de
reclamación y solicitud de información en el marco del Procedimiento 2.0, que sí fue
contestada por Trive.
En definitiva, es un hecho objetivo que la actuación del A.A.A. provocó una confusión
general, que empujó a Trive en particular a cometer un error involuntario.”
En cuanto al Acuerdo de inicio del presente procedimiento sancionador, TRIVE afirma
que el mismo “analiza la falta de respuesta por Trive a las resoluciones dictadas en el
Procedimiento 1.0 (excluyendo por lo tanto el requerimiento que sí contestó Trive y
que es objeto del Procedimiento 2.0).”
TRIVE considera que “(i) la eventual imposición de una sanción no resultaría ajustada
a Derecho, y, alternativamente, (ii) el importe de sanción propuesto no respeta el
principio de proporcionalidad”.
TRIVE dice que no procede la imposición de ninguna sanción, basándose en la
supuestas “ausencia de dolo o culpa en la actuación de Trive” y a la presunta
“concurrencia de mala fe y abuso de derecho en la conducta de A.A.A.”.
Con mención del artículo 28.1 de la Ley 40/2015, de 1 de octubre, del Régimen
Jurídico del Sector Público, el artículo 83.2.b) del RGPD, de la Sentencia del Tribunal
Supremo de 27 de febrero de 2012 (rec. 747/2009) y de las resoluciones de esta
Agencia de los expedientes número PS/00313/2023, PS/00269/2017 y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/23
PS/00315/2012, TRIVE concluye que “no concurre en la conducta de Trive la mínima
culpabilidad exigible para la imposición de una sanción pues:
(a) La actuación anómala y abusiva descrita originó dos procedimientos ante la AEPD
prácticamente idénticos y que se han solapado temporalmente. Este caos generado
por A.A.A. provocó en Trive un error involuntario al no contestar a la AEPD. Trive no
ha sido consciente hasta el Acuerdo de Incoación de que, realmente, el Procedimiento
1.0 y el Procedimiento 2.0 eran procedimientos que se referían a reclamaciones
distintas (aunque, en puridad, son esencialmente iguales). Ello llevó a Trive a la falsa
creencia de que con responder a la Agencia a su último requerimiento estaba dando
respuesta a todas las reclamaciones de A.A.A..
(b) El Procedimiento 1.0 y el Procedimiento 2.0 son las únicas reclamaciones en
materia de protección de datos dirigidas frente a Trive.
(c) El Procedimiento 1.0 y el Procedimiento 2.0 traen causa de 80 llamadas telefónicas
efectuadas por A.A.A., entre julio de 2023 y la fecha de remisión del presente escrito,
con el exclusivo objeto de conocer el estado de sus propias reclamaciones, que
además son objeto de los Procedimientos Judiciales. Esto es: el propósito de las
llamadas es obtener una información de la que ya dispone A.A.A..
(d) La actuación A.A.A. confirma que la finalidad del Reclamante no es seria ni
legítima. De hecho, cuando se le ha facilitado la información solicitada el propio
Reclamante reconoció que no tenía ningún interés real sobre lo preguntado
telefónicamente.
A mayor abundamiento, buena prueba de que no ha existido culpa (mucho menos
dolo), es un repaso a los esfuerzos que Trive realiza en materia de protección de
datos. (…)
Tal y como indicó la propia AEPD en su Resolución de 25 de enero de 2024 (exp.
PS/00313/2023), «el Dictamen 3/2010, del Grupo de Trabajo del artículo 29, emitido
durante la vigencia de la derogada Directiva 95/46/CEE pero cuyas reflexiones son
aplicables en la actualidad, afirma que la esencia de la responsabilidad proactiva es la
obligación del responsable del tratamiento de aplicar medidas que, en circunstancias
normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen
las normas en materia de protección de datos».
Como se ha puesto de manifiesto en el Procedimiento 2.0, al contestar al
requerimiento formulado por la AEPD, Trive ha procedido a emitir directrices internas a
sus teleoperadores para modificar sus respuestas ante situaciones similares,
formándoles en materia de protección de datos. Esta formación se suma a los
protocolos, directrices y guías que existen, y es anterior al Acuerdo de Incoación.
Lo expuesto acredita la ausencia de dolo o culpa en la conducta de Trive. Y sin el
necesario elemento de culpabilidad no debería poder apreciarse la comisión de una
infracción administrativa.”
Respecto a la conducta de la parte reclamante, TRIVE recuerda que “la buena fe es
un principio general de nuestro derecho que debe guiar la actuación de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/23
Administración y, también, presidir el ejercicio de toda clase de derechos por parte de
los particulares (…). En consecuencia, un ejercicio desleal del derecho al acceso de
los datos personales no es merecedor de tutela. Se deben rechazar los intentos
malintencionados de instrumentalizar la Agencia en beneficio de intereses particulares.
Como tiene dicho la Sentencia de la Audiencia Nacional de 1 de abril de 2011 (rec:
222/2010)”. TRIVE menciona las resoluciones de esta Agencia, entre ellas las de los
expedientes número A/00489/2016, PS/00425/2012 y E/03306/2011, y recuerda “las
Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso,
versión 2.1, adoptada el 28 de marzo de 2023, a tenor de las cuales estamos ante una
solicitud “excesiva” cuando se presenta una reclamación dirigida a obtener un
beneficio (en este caso en los Procedimientos Judiciales) o cuando esa reclamación
se usa para provocar un daño en la parte reclamada (como buscaba expresamente
A.A.A.).
(…) En atención a todo lo expuesto, es manifiesto que el Procedimiento 1.0 tiene su
origen en la comisión de un abuso injustificable por el Reclamante. (…)
Dicho lo anterior, somos conscientes de que el Acuerdo de Incoación se dicta
específicamente por la falta de respuesta de Trive. No obstante, como se ha explicado,
ese posicionamiento no fue deliberado, sino que se trata de una consecuencia más de
la conducta abusiva del Reclamante. De ahí que combatamos la sanción pues, más
allá de no existir intencionalidad, la imposición de una multa no dejaría de ser la
culminación de una estrategia deshonesta, que jamás debería tener encaje en nuestra
sociedad.
No en vano, las actuaciones malintencionadas, excesivas o abusivas nunca deben ser
respaldadas, ni tampoco se debe permitir que se alcancen los fines que se proponen,
pues atentan contra los principios generales de nuestro ordenamiento jurídico.
Por ende, en línea con las resoluciones citadas, conforme al principio de la buena fe,
en cumplimiento de lo previsto en las Directrices 01/2022 y con independencia de que
no concurra dolo ni culpa, lo procedente es archivar el procedimiento sin imponer
ninguna sanción.
Con carácter subsidiario, TRIVE dice que, “en el supuesto de que esta Agencia
considerase que, no obstante todo lo expuesto, sí procede la imposición de una
sanción, a continuación se detallan las razones por las que la cuantificación del
Acuerdo de Incoación adolece de falta de proporcionalidad.”
TRIVE dice que “El principio de proporcionalidad es una garantía esencial de los
procedimientos sancionadores regulado en el artículo 29 de la Ley 40/2015”, precepto
“alineado con los considerandos 4 y 129 del RGPD”, y cita la Sentencia del Tribunal
Supremo de 29 de mayo de 2019 (rec. 1857/2018). De ello concluye TRIVE que se
requiere “poner en relación los antecedentes de hecho con los criterios de graduación
establecidos en (i) el artículo 29 de la Ley 40/2015, (ii) el artículo 83.2 del RGPD, y (iii)
el artículo 76.2 de la LOPDPGDD.”
TRIVE considera que “Las circunstancias concurrentes no justifican la multa recogida
en el Acuerdo de Incoación, al no tener en cuenta”, dice, la naturaleza, gravedad y
duración de la infracción, la confusión generada por el reclamante, el alcance muy
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/23
limitado (un único afectado), la ausencia de intencionalidad y de daños, la inexistencia
de infracciones previas, la cultura de cumplimiento de TRIVE ni la carencia de sentido
económico.
En concreto, TRIVE vuelve a señalar que “En 2023 el importe neto de la cifra de
negocios de Trive en 2023 fue de 96.785.401 € (inferior a 2022). Además, como esta
Agencia bien conoce, esa cifra únicamente refleja los ingresos obtenidos por la
entidad, pero no el remanente que le queda a la sociedad una vez restados todos sus
pasivos y los impuestos aplicables (el “Resultado del Negocio”).
El Resultado del Negocio ha sido considerado en diversas ocasiones por esta Agencia
para determinar la cuantía de las multas administrativas, siendo asiduas las
resoluciones en las que se recogen y comparan la cifra de negocios y el Resultado del
Negocio para determinar la sanción (véase por ejemplo la Resolución de 28 de marzo
de 2023 (exp. PS/458/2022)).
Pues bien, en este caso, en el año 2023 el Resultado del Negocio de Trive fue de
1.122.703 €. Así pues, de imponérsele una sanción de 450.000 €, esa cuantía
representaría casi la mitad (40%) de la totalidad de beneficios obtenidos por Trive el
pasado año, lo que constituiría una carga del todo desmesurada e inasumible para la
entidad, poniendo en riesgo incluso la viabilidad económica del negocio.
En conclusión, al considerar todas las circunstancias concurrentes, es incuestionable
que la multa propuesta de 450.000 € resulta excesiva y desproporcionada.”
TRIVE afirma que “si se mantiene la imposición de una sanción debería limitarse a un
apercibimiento. Esa es la alternativa a la que esta misma AEPD se ha acogido para
resolver supuestos idénticos, en los que se analizaba la misma infracción cometida (ex
artículo 83.6 RGPD, por no responder a la Agencia).” TRIVE cita como ejemplos las
resoluciones de esta Agencia de los procedimientos PS/00123/2022, PS/00619/2022,
PS/00131/2022 y PS/00175/2021. Añade TRIVE que “la misma sanción de
apercibimiento se ha impuesto por esta Agencia a otras empresas privadas en otros
supuestos de infracciones muy graves, como por ejemplo la del artículo 83.5 RGPD”,
citando como ejemplos las resoluciones de esta Agencia de los procedimientos
PA/00061/2023, PA/00053/2023, PA/00049/2023, PS/00299/2021, PS/00104/2019 y
PS/00224/2019.
Por lo expuesto, TRIVE dice que “la sanción en caso debería limitarse a lo sumo a un
apercibimiento. Más aún si tenemos en cuenta que el Procedimiento 2.0 está todavía
en marcha, siendo el foro oportuno para, si la AEPD lo estima, dar contestación al
derecho de acceso del Reclamante, facilitando en tiempo y forma cualquier
información o documentación que esta autoridad de control estime conveniente.
En su defecto, cuando la AEPD se ha separado de ese criterio y ha impuesto una
multa económica, al revisar los precedentes disponibles vemos que las cifras son muy
distintas a las que se incluyen en el Acuerdo de Incoación. Sirvan como ejemplo los
siguientes expedientes:” EXP202409927, EXP202400496, EXP202318252,
PS/00530/2023 y EXP202208873.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/23
TRIVE sentencia que “Prueba adicional de que estamos ante una propuesta de
sanción excesiva es que, cuando se han impuesto multas económicas por las
infracciones muy graves a grupos societarios mucho más grandes que Trive, los
importes siempre han sido significativamente interiores.” Como ejemplo, cita las
resoluciones de esta Agencia de los procedimientos PS/00339/2023, PS/00281/2022,
PS/00635/2022, PS/00259/2020 y PS/00351/2019.
En opinión de TRIVE, “Todas estas resoluciones o precedentes son útiles para
resolver este expediente. Si se considera (en contra del respetuoso criterio de mi
representada) que debe imponerse a Trive una sanción económica, la Agencia debería
adoptar un enfoque coherente, predecible y homogéneo para garantizar la
proporcionalidad de las medidas impuestas y respetar el principio de seguridad
jurídica. Y los anteriores supuestos confirman que la AEPD ha impuesto sanciones
significativamente inferiores (i) en supuestos idénticos (infracción del artículo 83.6
RGPD), (ii) en supuestos similares (infracción del artículo 83.5 RGPD), e incluso (iii)
en supuestos en los que la parte reclamada eran grupos societarios cuyo volumen de
negocio es inmensamente superior a Trive.
En conclusión, si la AEPD considera que la conducta de Trive ha de ser objeto de una
multa, la cifra debería reducirse muy significativamente, sin rebasar en ningún caso los
1.000 €.”
Por todo lo expuesto, TRIVE solicita:
“Con carácter principal: El archivo del expediente sancionador de referencia sin la
imposición de sanción económica, en vista de (i) la no concurrencia en la actuación de
Trive del necesario elemento de culpabilidad para que pueda apreciarse la comisión
de una infracción administrativa, y (ii) la conducta abusiva del Reclamante.
Con carácter subsidiario: Si a pesar de todo lo expuesto se considerase que la
conducta es sancionable, se aperciba a Trive por la comisión de una infracción, sin
imponer ninguna multa económica.
Con carácter subsidiario a las dos peticiones anteriores: Si a pesar de todo lo
expuesto se considerase que la conducta es sancionable con una multa económica,
se reduzca sustancialmente su importe hasta el máximo posible, en los términos
indicados en este escrito, de acuerdo a los principios de proporcionalidad y de
seguridad jurídica.
OTROSÍ DIGO: Se acompaña a este escrito (i) la carta firmada por ***EMPRESA.1
acreditando la diligencia de Trive en materia de protección de datos, (ii) las CCAA
auditadas de Trive de 2023 y (iii) un conjunto de comunicaciones intercambiadas que
ilustran sobre lo acaecido. Debido a las limitaciones técnicas de la página web de esta
Agencia, no hemos podido aportar las grabaciones de las conversaciones telefónicas
ni toda la documentación a la que hacemos referencia en este escrito. No obstante,
esta parte muestra su plena disposición para aportar, a requerimiento de la AEPD,
cuanto la Agencia estime necesario o conveniente y en el formato que estime
oportuno.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/23
UNDÉCIMO: Recogido nuevamente informe de la herramienta AXESOR en relación
con las últimas cuentas depositadas por la entidad TRIVE CREDIT SPAIN, S.L., el
volumen de negocios del último año, 2023, asciende a 96.785.401 euros.
DUODÉCIMO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: La resolución del procedimiento de ejercicio de derechos y los
requerimientos para el cumplimiento de las medidas impuestas en la misma indicados
en los antecedentes primero, segundo, tercero y cuarto fueron notificados, con arreglo
a lo dispuesto en la LPACAP. Dicha resolución devino firme y ejecutiva por el
transcurso de los plazos previstos para la interposición de los recursos en ella
indicados.
SEGUNDO: TRIVE no remitió respuesta alguna a esta Agencia que acreditara el
cumplimiento de la resolución.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
II
Procedimiento
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de la presunta infracción cometida, se inicia un procedimiento
sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/23
El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.
III
Alegaciones al acuerdo de inicio
En respuesta a las alegaciones presentadas por TRIVE se debe señalar lo siguiente.
En la resolución del procedimiento de ejercicio de derechos del expediente número
EXP202315972, se requería a TRIVE que remitiera a la parte reclamante certificación
por la que se atendiera el derecho de acceso ejercido o se denegara motivadamente.
Además, las actuaciones realizadas como consecuencia de dicha resolución debían
ser comunicadas a esta Agencia. El presente procedimiento sancionador trae causa en
el incumplimiento de esa orden.
Cualquier motivo de disconformidad con el objeto de ese procedimiento, esto es, la
respuesta al ejercicio de un derecho reconocido por el RGPD a los interesados sobre
sus datos personales podía y debía haber sido planteado en el momento
procedimental oportuno, por tanto durante la tramitación de dicho procedimiento, en
que se le dio oportunidad de presentar todas las alegaciones que considerase
pertinentes. Igualmente, la impugnación de la resolución definitiva de dicho
procedimiento en la que se incluía la orden ahora incumplida, se podía y debía haber
realizado ejerciendo su derecho a plantear los recursos procedentes en el plazo
señalado por la normativa e informado en la propia resolución. En el momento
presente, la resolución es firme y ejecutiva, y debe ser cumplida en sus propios
términos, no pudiendo admitirse alegaciones que pretendan su revisión. El objeto del
presente procedimiento sancionador es la falta de cumplimiento de una resolución
firme de la autoridad de control.
En cuanto al requisito de culpabilidad para la imposición de sanción administrativa
basada en las infracciones contenidas en los apartados 4 a 6 del artículo 83 del
RGPD, ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la
Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que:
“Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”
No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011,
Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal
Constitucional viene declarando que no cabe en el ámbito sancionador administrativo
la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia
164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer
sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título
de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las
personas jurídicas no se corresponde con las formas de culpabilidad dolosas o
imprudentes que son imputables a la conducta humana.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/23
Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque
haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del
Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley
48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de
las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.”
A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005,
y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la
culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en
orden a la asunción de la correspondiente carga, que ordinariamente los elementos
volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta
típica probada, y que su exclusión requiere que se acredite la ausencia de tales
elementos, o en su vertiente normativa, que se ha empleado la diligencia que era
exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente
a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".
Asimismo, cabe reiterar que constan en el expediente los acuses de recibo por parte
de TRIVE tanto de la resolución del procedimiento de ejercicio de derechos como de
dos requerimientos de cumplimiento de la misma, sin que se haya recibido en esta
Agencia respuesta a dichas notificaciones antes del inicio del presente procedimiento
sancionador, por lo que se desestima la falta de culpabilidad.
En relación a la “cultura de cumplimiento” de TRIVE respecto a la normativa en
materia de protección de datos, se advierte sobre lo dispuesto en el artículo 5.2 del
RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El
responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el
apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que
recae en el responsable del tratamiento no solo de diseñar, implementar y observar las
medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de
datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo
de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo
además capaz de demostrarlo. Por lo tanto, no puede considerarse como atenuante lo
que es un deber legal del responsable del tratamiento.
Sobre la presunta “confusión generada por dos procedimientos prácticamente
idénticos”, resulta pertinente aclarar, en primer lugar, que en el hecho tercero se
menciona el escrito presentado con fecha 19 de julio de 2024 en el cual la parte
reclamante manifestó que la resolución del expediente EXP202315972 no había sido
cumplida. Ello no guarda relación alguna con la reclamación presentada en la misma
fecha por la parte reclamante, la cual dio origen al otro expediente al que hace alusión
TRIVE.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/23
En segundo lugar, se reitera que, como se recoge en el hecho cuarto, obran en el
expediente los acuses de recibo de las dos notificaciones del requerimiento de
cumplimiento de la resolución del expediente EXP202315972 recogidas por TRIVE,
que se realizaron con carácter previo a la apertura del presente procedimiento,
otorgando dos nuevos plazos para que se regularizara el incumplimiento de la
resolución.
En cuanto a la aplicación que exige TRIVE del principio de proporcionalidad y los
criterios de graduación, cabe señalar que los mismos han sido tenidos en cuenta en el
Acuerdo de inicio del presente procedimiento sancionador.
En el Fundamento de derecho V del Acuerdo de inicio del presente procedimiento
sancionador, bajo el título de Propuesta de sanción, se indica que, para garantizar una
aplicación coherente del RGPD, se toman en consideración las Directrices 04/2022
formuladas por el Comité Europeo de Protección de Datos sobre el cálculo de multas
bajo el RGPD.
Al respecto, cabe destacar que, en el Acuerdo de inicio, la fijación de la multa se
realizó con base en el volumen de negocio de TRIVE correspondiente al ejercicio
2022, al ser los últimos datos disponibles en el informe de la herramienta AXESOR
conforme a las últimas cuentas depositadas en el Registro Mercantil. No obstante,
conforme a lo reflejado en las cuentas anuales del ejercicio 2023 aportadas por la
empresa, procede revisar el importe de la multa que corresponde imponer a TRIVE.
Acerca de la afirmación de TRIVE de que “si se mantiene la imposición de una sanción
debería limitarse a un apercibimiento. Esa es la alternativa a la que esta misma AEPD
se ha acogido para resolver supuestos idénticos, en los que se analizaba la misma
infracción cometida (ex artículo 83.6 RGPD, por no responder a la Agencia).”, cabe
responder que las resoluciones que cita TRIVE se refieren a procedimientos
sancionadores en los que el investigado era una Administración Pública, por lo que, en
aplicación del artículo 77 de la LOPDGDD, probada la infracción se resolvió
declarando la infracción y estableciendo, en su caso, las medidas que procedía
adoptar para que cesara la conducta o se corrigieran los efectos de la infracción.
Con respecto a la afirmación de TRIVE de que “la misma sanción de apercibimiento se
ha impuesto por esta Agencia a otras empresas privadas en otros supuestos de
infracciones muy graves, como por ejemplo la del artículo 83.5 RGPD”, se aclara que
el artículo 83 del RGPD regula las condiciones generales para la imposición de multas
administrativas. En cuanto a las resoluciones que TRIVE pone como ejemplos de
sanciones de apercibimiento, en las mismas se dirigen apercibimientos por
infracciones de diferentes artículos del RGPD (en ninguno de esos casos del artículo
58.2 del RGPD) tipificadas en los artículos 83.4 u 83.5 del RGPD. Por tanto, se trata
de supuestos distintos al del presente procedimiento sancionador, en el que se analiza
si se ha cometido una infracción del artículo 58.2 del RGPD, tipificada en el artículo
83.6 del RGPD.
En lo que se refiere a la afirmación de TRIVE de que “Prueba adicional de que
estamos ante una propuesta de sanción excesiva es que, cuando se han impuesto
multas económicas por las infracciones muy graves a grupos societarios mucho más
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/23
grandes que Trive, los importes siempre han sido significativamente interiores”, se
señala las resoluciones que TRIVE cita como ejemplos se refieren a casos en los que
el sancionado contaba con un volumen de negocios elevado y la infracción estaba
tipificada en el artículo 83 del RGPD. Al respecto, conviene recordar que la
cuantificación final del importe de la multa debe basarse en una evaluación específica
realizada en cada caso concreto. Los fundamentos de la cuantificación de la multa en
este caso se detallan en la propuesta de sanción.
Tomando en consideración todo lo expuesto, no procede el archivo del presente
procedimiento sancionador ni resolver el mismo dirigiendo un apercibimiento a TRIVE.
No obstante, en vista de las cuentas anuales del ejercicio 2023 aportadas por TRIVE y
de la información financiera depositada por esta empresa en el Registro Mercantil y
recogida por esta Agencia a través de la herramienta Axesor, procede revisar el
importe de la multa administrativa fijada en el Acuerdo de inicio del presente
procedimiento sancionador.
IV
Obligación incumplida
A tenor de los hechos expuestos, se considera que TRIVE ha incumplido la resolución
de la Agencia Española de Protección de Datos.
Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman
constitutivos de una infracción, imputable TRIVE, por vulneración del artículo 58.2.c)
del RGPD, que dispone lo siguiente:
“2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
c) ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de
ejercicio de los derechos del interesado en virtud del presente Reglamento;”
V
Tipificación y calificación de la infracción
Esta infracción se tipifica en el artículo 83.6 del RGPD, que estipula lo siguiente:
“El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo
58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con
multas administrativas de 20 000 000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio
total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.”
A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de
muy grave la siguiente conducta:
“m) El incumplimiento de las resoluciones dictadas por la autoridad de protección de
datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del
Reglamento (UE) 2016/679.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/23
VI
Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/23
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
Asimismo, para garantizar una aplicación coherente del RGPD, se han de tomar en
consideración las Directrices 04/2022 formuladas por el Comité Europeo de Protección
de Datos sobre el cálculo de multas bajo el RGPD.
En este caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de TRIVE.
Asimismo, el RGPD prevé importes máximos en el artículo 83, apartados 4 a 6, en el
que se agrupan varios tipos de conducta diferentes. A este respecto, se tiene en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/23
cuenta que la infracción determinada en este procedimiento se tipifica en el artículo
83.6 del RGPD, por tanto, dentro del conjunto de infracciones de mayor gravedad que
cuentan con un rango sancionador más alto.
Finalmente, se ha de señalar con arreglo a las circunstancias de graduación del art.
83.2 del RGPD, que en su apartado a) considera que se debe tener debidamente en
cuenta «la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido», se ha valorado:
- En primer lugar, la gravedad de la infracción por su naturaleza, dados los
intereses protegidos y su lugar en el marco de la protección de los datos
personales. Al no acreditar el cumplimiento de unas medidas que persiguen
corregir los efectos de una infracción o adecuar un tratamiento a la legalidad,
se está persistiendo en una situación ilícita, además de desobedecer los
poderes correctivos de los que el RGPD dota a las autoridades de control para
que puedan cumplir su primer cometido: controlar la aplicación del RGPD y
hacerlo aplicar.
- En segundo lugar, la gravedad de la infracción por su duración. El responsable
conoce la resolución que le impone el cumplimiento de una orden de esta
Agencia desde el 12 de marzo de 2024, resolución que devino firme y ejecutiva
un mes después. Ha transcurrido así más de un año desde que finalizó el plazo
otorgado para el cumplimiento de la resolución, realizándose además durante
este tiempo dos requerimientos de cumplimiento por parte de esta Agencia.
- No obstante lo anterior, se tiene en consideración también el número de
interesados afectados por la infracción, tratándose de un único individuo.
En atención a las circunstancias expuestas, por la vulneración del artículo 58.2 del
RGPD tipificada en el artículo 83.6 del RGPD correspondería imponer a TRIVE una
sanción de multa administrativa por un importe de 225.000,00 euros.
VII
Medidas correctivas
De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del de acuerdo con
lo establecido en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad de
control podrá “ordenar al responsable o encargado del tratamiento que las
operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento,
cuando proceda, de una determinada manera y dentro de un plazo especificado…”.
En tal caso, en la resolución que se adopte, esta Agencia podrá ordenar al
responsable para que en el plazo de diez días hábiles notifique a la Agencia la
adopción de las medidas impuestas en la resolución del procedimiento de ejercicio de
derechos del expediente número EXP202315972.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/23
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.
A la vista de lo expuesto se procede a emitir la siguiente:
PROPUESTA DE RESOLUCIÓN
Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
TRIVE CREDIT SPAIN, S.L., con NIF B87258091, por una infracción del Artículo 58.2
del RGPD, tipificada en el Artículo 83.6 del RGPD, con una multa de 225.000,00 euros.
Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a
TRIVE CREDIT SPAIN, S.L., con NIF B87258091, que en virtud del artículo 58.2.d) del
RGPD, en el plazo de diez días hábiles, remita a la parte reclamante certificación por
la que se atienda el derecho de acceso ejercido o se deniegue motivadamente
indicando las causas por las que no procede atender la petición, de conformidad con lo
establecido en la resolución del procedimiento de ejercicio de derechos del expediente
número EXP202315972. Asimismo, las actuaciones realizadas deberán ser
comunicadas a esta Agencia en idéntico plazo.
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 180.000,00 euros y su pago implicará la
terminación del procedimiento. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/23
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
1105-241024
B.B.B.
INSTRUCTORA
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/23
ANEXO
Índice del expediente EXP202415922
15/11/2024 Diligencia
02/12/2024 Acuerdo de inicio a TRIVE CREDIT SPAIN, S.L.
02/12/2024 Escrito a A.A.A.
18/12/2024 Alegaciones de TRIVE CREDIT SPAIN, S.L.U.
>>
SEGUNDO: En fecha 12 de junio de 2025, TRIVE ha procedido al pago de la sanción
en la cuantía de 180.000,00 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.
TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera
al responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/23
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
III
Pago voluntario
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 180.000,00 euros y
su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes.
Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, TRIVE, en fecha 12 de junio de 2025, procedió a realizar el pago
voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del
artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/23
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.
La suma de las citadas cuantías arroja una cantidad total de 225.000,00 euros.
Tras haber procedido TRIVE CREDIT SPAIN, S.L. al pago voluntario, aunque sin
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP,
a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de
180.000,00 euros.
La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202415922, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: ORDENAR a TRIVE CREDIT SPAIN, S.L. para que en el plazo de 10 días
desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho de la
propuesta de resolución transcrita en la presente resolución.
CUARTO: NOTIFICAR la presente resolución a TRIVE CREDIT SPAIN, S.L..
QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez sea firme en vía administrativa.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/23
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
1331-080725
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es