1/43
Expediente Nº: EXP202500113
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 10 de enero de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a ING BANK N.V.,
SUCURSAL EN ESPAÑA (en adelante, ING). Notificado el acuerdo de inicio y tras
analizar las alegaciones presentadas, con fecha 6 de agosto de 2025 se emitió la
propuesta de resolución que a continuación se transcribe:
<<
Expediente N.º: EXP202500113
Contenido
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR...................2
ANTECEDENTES..........................................................................................................2
PRIMERO:.................................................................................................................2
SEGUNDO:................................................................................................................ 5
TERCERO:............................................................................................................... 16
CUARTO:................................................................................................................. 16
QUINTO:.................................................................................................................. 16
SEXTO:.................................................................................................................... 16
SÉPTIMO:................................................................................................................ 17
OCTAVO:.................................................................................................................. 20
NOVENO:................................................................................................................. 21
DÉCIMO:.................................................................................................................. 21
HECHOS PROBADOS................................................................................................21
PRIMERO:............................................................................................................... 21
SEGUNDO:.............................................................................................................. 21
TERCERO:............................................................................................................... 21
CUARTO:................................................................................................................. 21
QUINTO:.................................................................................................................. 21
SEXTO:.................................................................................................................... 22
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/43
SÉPTIMO:................................................................................................................ 22
OCTAVO:.................................................................................................................. 22
NOVENO:................................................................................................................. 22
DÉCIMO:.................................................................................................................. 22
UNDÉCIMO:............................................................................................................. 22
DUODÉCIMO:.......................................................................................................... 22
DÉCIMOTERCERO:................................................................................................23
DÉCIMOCUARTO:...................................................................................................23
FUNDAMENTOS DE DERECHO.................................................................................23
I Competencia......................................................................................................... 23
II Procedimiento......................................................................................................23
III Cuestiones previas..............................................................................................23
IV.............................................................................................................................. 26
Contestación a las alegaciones al acuerdo de inicio................................................26
V Obligación incumplida. Seguridad del tratamiento...............................................36
VI Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de
prescripción.............................................................................................................. 41
VII Propuesta de sanción........................................................................................41
VIII Medidas correctivas..........................................................................................45
PROPUESTA DE RESOLUCIÓN.................................................................................45
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/43
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y con
base en los siguientes
ANTECEDENTES
PRIMERO:
El 20 de junio de 2023 tuvo lugar la entrada de una reclamación en la Agencia
Española de Protección de Datos. La reclamación, presentada por la parte reclamante
ante el Banco de España el 9 de junio de 2023, fue remitida por esta entidad en
cumplimiento del artículo 14 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico
del Sector Público. La reclamación se interpone por una posible infracción imputable a
ING BANK N.V., SUCURSAL EN ESPAÑA con NIF W0037986G (en adelante, ING o
parte reclamada).
Los hechos que se ponen en conocimiento de esta autoridad:
La parte reclamante manifiesta que, en fecha 19 de enero de 2023, intentó darse de
alta como cotitular en la cuenta bancaria de su pareja, a través de la página web de
ING. Tras varios intentos infructuosos, la parte reclamante se pone en contacto con la
mencionada entidad bancaria, que le indica que le enviará un correo electrónico con
las instrucciones para realizar la gestión de forma física en lugar de virtual.
El 24 de enero de 2023, una vez recibido y cumplimentado el formulario para proceder
al alta de nuevo interviniente en una cuenta corriente de ING, la parte reclamante,
siguiendo las instrucciones establecidas en el mencionado formulario, llamó al teléfono
***TELÉFONO.1 para contactar con el servicio de recogida. Ese mismo día recibe la
etiqueta de identificación del envío de documentación en su correo electrónico. La
etiqueta identificativa le es remitida por la empresa de transporte DYNAMIC EXPRESS
COURIER S.L (en adelante, DYNAMIC).
El 26 de enero de 2023 un trabajador de la empresa TRANSPORTES AUTO-RADIO,
S.A (en adelante, AUTORADIO) acude al domicilio de la parte reclamante y recoge un
sobre que contiene el formulario de alta de nuevo interviniente, además de fotocopia
de su DNI y la etiqueta identificativa del envío cumplimentada.
Al no tener noticias, durante los días 2,6 y 10 de febrero de 2023 la parte reclamante
se pone en contacto con ING para preguntar si esta entidad había recibido la
documentación enviada. En las tres ocasiones le indican que no se ha recibido y,
además, el día 10 le señalan que reclamarán la documentación a la empresa de
transporte.
El 13 de febrero de 2023 la parte reclamante se pone de nuevo en contacto con ING
que le confirma que sigue a la espera de confirmación por parte de las empresas de
transporte. Asimismo, la entidad bancaria le recomienda subir a la página web de ING
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/43
el albarán de recogida de la documentación para reclamar de nuevo el envío y crear
una incidencia en la plataforma de ING.
Por otra parte, ese mismo día la parte reclamante se pone en contacto con la empresa
AUTORADIO, encargada de la recogida de la documentación el 26 de enero de 2023,
que le indica un número de seguimiento del envío (***REFERENCIA.1) y le informa de
que la documentación ha llegado a la empresa SENDING TRANSPORTE Y
COMUNICACIÓN, S.A (en adelante, SENDING) en Madrid. Asimismo, señalan a la
parte reclamante que contacte con la empresa SENDING para que esta le informe
sobre la situación de la documentación.
A continuación, la parte reclamante se pone en contacto con SENDING, que le
confirma que la documentación llegó a sus oficinas en Madrid, sin que sepa la razón
por la que no ha sido remitida a ING. Desde la empresa SENDING señalan que lo
reclamarán a DYNAMIC.
El 16 de febrero de 2023 la parte reclamante vuelve a contactar con la empresa
SENDING que le comunica por vez primera que desconoce la ubicación de la
documentación. Asegura que esta no se encuentra en sus oficinas por lo que podría
encontrarse en posesión de la empresa DYNAMIC.
Ese mismo día, la parte reclamante se pone en contacto con DYNAMIC quien asegura
no haber recibido el envío por parte de SENDING. Tras volver a contactar con
SENDING, esta empresa le confirma que desconoce la ubicación de la
documentación.
El 18 de febrero de 2023 la parte reclamante recibe un correo electrónico por parte de
ING informándole de que no ha recibido la documentación necesaria para realizar la
gestión e instándole a que la presente de nuevo. En contestación a esa comunicación,
la parte reclamante exige a ING que le aclare qué ha ocurrido con la documentación
que contenía sus datos personales y que le fue remitida a ING siguiendo sus
instrucciones.
Finalmente, el 6 de marzo de 2023 presenta denuncia ante la Guardia Civil por el
extravío de documentación.
Junto a la reclamación se aporta:
- Copia del formulario de alta de nuevo interviniente de ING, cumplimentado por la
parte reclamante.
En el mismo figuran de manera manuscrita:
o Nombre, apellidos, DNI, número de cuenta y rúbrica de la pareja de la
parte reclamante.
o Nombre, apellidos, DNI, fecha de nacimiento, país de nacimiento,
nacionalidad, país de residencia fiscal, dirección de correo electrónico,
número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica de
la parte reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/43
Además, constan las instrucciones para dar de alta a un nuevo interviniente,
consistentes en:
o “Rellene y firme los campos con fondo blanco”;
o “Llame al ***TELÉFONO.1 y lo recogeremos gratis”
o “El nuevo interviniente personalmente deberá mostrar su DNI y entregar
una copia al mensajero”.
o “¡MUY IMPORTANTE! Compruebe que su DNI está en vigor (no caducado)
y entregue una fotocopia al mensajero. Si no tiene DNI, ver el dorso”.
Asimismo, de acuerdo con el documento, el responsable del tratamiento de los datos
personales ahí contenidos es ING.
- Copia del correo electrónico recibido por la parte reclamante de ***EMAIL.1 el 24
de enero de 2023 a las 11:31 horas con el documento “ING etiqueta
identificación.pdf”, así como copia de la etiqueta de recogida cumplimentada por la
parte reclamante en la que figuran los logos de ING y de DYNAMIC. En la misma
se indica “ATENCIÓN, el cliente debe identificarse con su DNI. La firma del cliente
debe ser igual o conforme a la de su DNI”. Se incluyen, además, como datos
exigidos para la solicitud de recogida: nombre, apellidos, fecha, nº de DNI, fecha
de validez del DNI y rúbrica.
- Albarán de la orden de recogida de la documentación de 26 de enero de 2023 de
AUTORADIO en la que figuran, entre otros, un número de recogida, la fecha de
recogida, el nombre, apellidos y dirección postal de la parte reclamante
(identificado como cliente de recogida). Asimismo, consta como “destino”, ING
Direct-Alta interviniente; como cliente a facturar, RECOGIDAS SENDING VIGO; y
como ordenante 900-SENDING.
- Copia de documento de seguimiento del envío ***REFERENCIA.1 (ref:
***REFERENCIA.2) de 13 de febrero de 2023, en el que figura “26 de enero de
2023. 21.13 horas. En tránsito. 18.56 horas. Servicio creado en el sistema. Vigo
(361). Remitente: ***REMITENTE.1. Destinatario: 900- SENDING.
- Intercambio de correos entre la parte reclamante y ***EMAIL.2 de 18 y 20 de
febrero de 2023 en la que ING solicita el reenvío de la documentación, al no
haberlo recibido, a lo que el reclamante contesta manifestando su disconformidad
con la situación, reiterando la cronología de lo ocurrido y solicitando aclaración
sobre el extravío de sus datos personales.
A continuación, se reproduce el correo electrónico enviado por ING a la parte
reclamante el 18 de febrero de 2023 a las 9.28 horas:
“Nos ponemos en contacto contigo en relación con tu solicitud de dar de alta un
nuevo interviniente en tu cuenta nómina/naranja/mini.
Hemos comprobado que no nos consta haber recibido el formulario de alta de
nuevo interviniente. Por este motivo, y para poder continuar con el proceso, es
necesario que nos lo vuelvas a enviar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/43
Tienes disponible este formulario en nuestra web desde tu área personal, en la
opción: Documentación/Mis formularios/Cuentas de día a día.
Puedes entregarlo en cualquiera de nuestras oficinas, o bien contactar con
nuestro servicio de mensajería cuyo teléfono aparece en dicho formulario, que lo
recogerá de forma gratuita o, por último, enviarlo por correo ordinario a la
dirección (…).
Recuerda que para que el formulario tenga validez, todos los campos deben estar
correctamente cumplimentados y la firma debe ser original y conforme a la que
aparece en tu documento de identidad.
Atentamente. El equipo de ING.”
- Copia del expediente generado a raíz de la reclamación de 24 de abril de 2023
presentada por la parte reclamante contra ING ante la Oficina Municipal de
Información al Consumidor (OMIC) del ***AYUNTAMIENTO.1. En el mismo se
incluye la respuesta de ING a la OMIC de 16 de mayo de 2023 que se señala,
entre otros aspectos: “(…) En primer lugar, este servicio lamenta sinceramente las
molestias que los hechos que nos ha manifestado en su escrito le hayan podido
ocasionar, así como que el servicio prestado por INF no haya sido el más
adecuado posible. Del mismo modo, hemos tenido conocimiento de que la
empresa de mensajería ***EMPRESA.1 está revisando sus archivos nuevamente
a fin de poder confirmar si finalmente recepcionaron su documentación a la misma
se extravió (…)”.
- Atestado de la Guardia Civil de ***AYUNTAMIENTO.1 por la que se reproduce la
denuncia presentada por la parte reclamante “por pérdida de objetos o efectos”.
SEGUNDO:
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), se dio traslado de dicha reclamación a ING, para que procediese a su
análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a
cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.
El 15 de septiembre de 2023 ING en contestación al traslado, realiza las siguientes
aseveraciones, que confirman la cronología detallada por la parte reclamante:
- No se ha realizado ningún informe por parte de la Delegada de Protección de
Datos de ING a raíz de esta reclamación. No obstante, el tratamiento de datos
personales que se realiza respecto a la “recogida, escaneo y recepción de
documentación de nuestros clientes ha sido analizado a través de la realización
de una evaluación de impacto en materia de protección de datos que ha sido
revisada y firmada por la delegada de Protección de Datos de ING. Se adjunta
dicha evaluación de impacto en u última versión., así como copia del FullDpia
realizado, que contiene una evaluación de impacto más exhaustiva al entender
que este tratamiento podría tener incidencia en los derechos y libertades de
nuestros clientes (…).
- Que por parte de ING se realizaron varios intentos por localizar la documentación
extraviada a raíz de que se recibiera el aviso por parte de la parte reclamante. En
concreto, tras recibir una llamada de la parte reclamante el día 6 de febrero, el 8
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/43
de febrero de 2023 se solicitó información a la empresa por ellos contratada
encargada de escanear toda la documentación recibida por los diferentes canales
de entrada (***EMPRESA.2). El 9 de febrero se recibió respuesta de esta
empresa informando que la documentación no había tenido entrada.
- Asimismo, tras instar a la parte reclamante a la subida del albarán de recogida, el
13 de febrero de 2023 se procede a solicitar información a la empresa
***EMPRESA.1, proveedor de servicios de mensajería con la que trabajaba ING,
que no guarda relación con DYNAMIC, empresa que realizó la recogida de la
documentación.
- A raíz del traslado de la reclamación por la AEPD se verifica por parte de ING que
la solicitud de información a ***EMPRESA.1 fue realizada erróneamente, sin
solicitarse información a DYNAMIC sobre la documentación extraviada hasta el 1
de septiembre de 2023. En concreto, se indica:
“(…) Tras la recepción de este requerimiento de información, ING ha revisado
nuevamente el caso y ha vuelto a solicitar a sus proveedores de mensajería
información sobre el documento extraviado. Hemos verificado que en las
interacciones anteriores se solicitó información a ***EMPRESA.1 ya que es la
empresa de servicios de mensajería con la que principalmente trabaja ING y como
es sabido estas empresas trabajan con otras entidades que forman parte de su
red, por lo que probablemente se entendió que las entidades Autorradio, Sending
y Dynamic (entidades referidas por A.A.A. en su queja) eran parte de su red. Dado
que en ese momento no se contactó directamente con Dynamic por las razones
expuestas anteriormente, se les ha solicitado información sobre dicho documento,
a pesar de que, desde finales del mes de febrero de este año, esta empresa ya no
presta servicios a ING, como se explica a continuación. Se adjunta en el informe
aportado como Documento número 1, copia del citado email enviado con fecha 1
de septiembre de 2023(…)”.
- En cuanto a las causas que, de acuerdo con ING, han motivado la incidencia que
ha originado la reclamación:
A.A.A. ha presentado reclamación porque el Formulario de Alta de Interviniente
que entregó a un mensajero a finales del mes de enero de 2023 se ha extraviado.
Desconocemos exactamente lo ocurrido entre las empresas que componen la red
de mensajería utilizada por Dynamic, ya que ING es ajena a ella y sus
procedimientos y protocolos son definidos y de responsabilidad exclusiva de
dichas empresas de mensajería. Sin embargo, entendemos que la causa ha sido
un error humano, puntual, ya que el extravío de la documentación que estas
empresas deben entregarnos no es un hecho que ocurra habitualmente, teniendo
en cuenta que el volumen de documentos que se reciben por esta vía es
considerable. El subrayado es de la AEPD.
- Respecto a la relación entre DYNAMIC e ING se señala:
“(…) La empresa de mensajería Dynamic estuvo prestando servicios a ING de forma
puntual durante un corto periodo de tiempo. En concreto, hasta que se inició un
proceso de RFP para seleccionar a un nuevo proveedor de servicios de mensajería, al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/43
haber entrado en concurso de acreedores una de las dos empresas de mensajería
con las que ING colaboraba. Se formalizó un contrato con la entidad Dynamic, con
fecha 1 de septiembre de 2022 el cual fue finalizado el 28 de febrero de 2023. (…)
Desde la empresa Dynamic nos han informado, tras esta solicitud realizada por ING,
de que efectivamente dicho documento fue extraviado, entendemos que
probablemente debido a un error humano puntual.
- Por otra parte, respecto a las medidas adoptadas para evitar que se produzcan
incidencias similares, ING asegura: “(…) desde el punto de vista de acciones de
carácter contractual, entendemos que no es necesario adoptar ninguna medida
porque ING ya dispone en los contratos firmados con las empresas de mensajería
con las que colabora, acuerdos de niveles de servicio y de penalizaciones
previstas para el caso de que los servicios no se presten adecuadamente.
Asimismo, y con anterioridad a la recepción de esta reclamación, ING ha
modificado los contratos formalizados con sus empresas de mensajería para
regular su condición como responsables del tratamiento de los datos personales
de los usuarios que estas entidades recaban como consecuencia de la prestación
de los servicios de mensajería (recogida de documentación y entrega en destino),
de acuerdo con los pronunciamientos de la Agencia realizados sobre este asunto”.
- Por último, se concluye:
“Desde ING lamentamos los hechos ocurridos y que el documento extraviado no
haya podido ser localizado a través de las empresas de mensajería involucradas.
Sin embargo, entendemos que el extravío del formulario se ha producido por un
error puntual de la empresa de mensajería y, por lo tanto, de forma involuntaria,
no siendo habitual que ocurran este tipo de situaciones en nuestro día a día. Por
parte de ING, hemos llevado a cabo todas las acciones que estaban en nuestra
mano para localizar dicho documento, lamentablemente sin éxito y hemos
informado a A.A.A. de su extravío y de la necesidad de aportarlo nuevamente en
el caso de que continúe deseando darse de alta como cotitular en la cuenta
bancaria. No obstante lo anterior, de acuerdo con pronunciamientos de la Agencia,
estas empresas de mensajería son responsables por los servicios que prestan a
sus clientes y asimismo, del tratamiento que realizan de los datos personales de
los usuarios de sus servicios. Aun así, como indicábamos anteriormente, desde
ING hemos llevado a cabo todas las acciones que están en nuestra mano para
intentar localizar el documento extraviado e informar oportunamente a A.A.A. de
las gestiones realizadas y su resultado”. El subrayado es de la AEPD.
Junto a su escrito de respuesta al traslado, se acompañan los siguientes documentos:
- Captura de pantalla de la incidencia número ***REFERENCIA.3 que figura en el
historial de la parte reclamante en el que constan las actuaciones llevadas a cabo por
ING tras los diversos avisos realizados por la parte reclamante relativos a la
documentación extraviada.
La incidencia se crea el 6 de febrero de 2023 a las 13.23 horas con el siguiente texto:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/43
“Cliente llama porque el día 26 de enero le han recogido el formulario de alta de
interviniente para la cuenta de B.B.B.. La recogida la hizo por mensajería la empresa
AUTORADIO. Los datos que el cliente tiene en el justificante que le dejaron son:
número de recogida ***REFERENCIA.4, nombre del mensajero C.C.C., el cliente tiene
un código de seguimiento ***REFERENCIA.1 y cuando entra a consultar en la página
de la mensajería le aparece que está en tránsito desde el 26 de enero. Por favor
reclamar a mensajería (…)”.
El 8 de febrero de 2023 a las 14.29 horas figura como comentario: “Enviamos consulta
al proveedor con los datos facilitados”.
El 9 de febrero de 2023 en el historial de la incidencia consta: “Tenemos respuesta de
***EMPRESA.2 y no se ha recibido dicha documentación. Por favor, solicitad nuevo
envío. Gracias”.
El 13 de febrero de 2023 a las 17.02 horas el comentario es el siguiente: “Entra por
consulta piloto, solicitamos al cliente que remita albarán de entrega de documentación
para reclamar a mensajería”. A las 17.15 horas: “Recibo consulta del cliente… indica
sube a su área personal el documento de mensajería”.
Por su parte, el 14 de febrero de 2023 a las 14.12 horas figura: “Seguimos sin localizar
el FAI ni con los datos de la TIT ni con los del cliente. Realizamos nueva consulta a
proveedor para que nos confirmen la entrega de documentación. Quedamos a la
espera”.
El 16 de febrero de 2023 a las 11.40 horas el comentario en el historial de incidencias
señala: “No se ha localizado por parte de ***EMPRESA.2 ni de ***EMPRESA.1 dicha
documentación. Por favor, solicitad nos reenvíe de nuevo la misma”.
Finalmente, el 18 de febrero de 2023 a las 9.32 horas se cierra la incidencia con la
observación siguiente: “Solicitamos FAI de nuevo… cerramos”.
- Copia del albarán de recogida de AUTORADIO subido a la plataforma de ING por la
parte reclamante el 13 de febrero de 2023.
- Copia del correo electrónico remitido por ING a DYNAMIC el 1 de septiembre de
2023 solicitando información sobre la documentación extraviada. En esta
comunicación se señala: “(…)”.
- Copia del contrato de prestación de servicios entre ING y DYNAMIC vigente entre el
1 de septiembre de 2022 y el 28 de febrero de 2023, y, por ende, en vigor en el
momento en el que tuvieron lugar los hechos descritos en el antecedente de hecho
primero.
En el mismo, se incluye un apartado relativo a la protección de datos de carácter
personal por el que se identifica a ING como responsable del tratamiento y a
DYNAMIC (proveedor) como encargado del tratamiento. El contrato, en materia de
protección de datos, establece textualmente (el subrayado es de la AEPD):
“(…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/43
Por su parte, el ANEXO IV- MEDIDAS DE SEGURIDAD establece las siguientes
medidas:
(…)
Asimismo, en el ANEXO V- ACUERDO DE NIVEL DE SERVICIO se señala (el
subrayado es de la AEPD): “(…)”.
A continuación, en el mismo documento, se establecen penalizaciones en caso de
incumplimiento por parte del proveedor que se refieren únicamente a la existencia
de posibles retrasos en la recogida de la documentación.
“(…)”
- Carta de resolución de contrato enviada por ING a DYNAMIC el 13 de febrero de
2023 por la que manifiesta su voluntad de resolución del contrato con efectos del
28 de febrero de 2023.
- Carta de 14 de septiembre de 2023 remitida por ING a la parte reclamante por la
que le confirman el extravío de la documentación y reiteran sus disculpas ante lo
acontecido.
- Evaluación de impacto sobre gestión de documentación física y digital (versión
reducida y completa).
TERCERO:
El 19 de septiembre de 2023, de conformidad con el artículo 77 de la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), se solicitó a ING aclaración sobre las penalizaciones
que fueron aplicadas DYNAMIC, en tanto que encargado, en el caso concreto,
atendiendo a la respuesta proporcionada sobre las medias adoptadas para evitar
incidencias similares.
El 28 de septiembre de 2023 se recibió nueva respuesta en que se señala que no se
aplicaron penalizaciones, en tanto que “durante la vigencia del contrato no se
reportaron supuestos que justificaran la aplicación de penalizaciones en los términos
recogidos en el contrato, a juicio de la información que disponemos en ING. Las
incidencias computables para penalizar al proveedor son las que suponen errores que
son directamente imputables a éste, como pueden ser la recogida de la
documentación fuera de los plazos recogidos en la tabla del anexo 4 del contrato o la
pérdida de ésta, por ejemplo. (…) Por tanto, los hechos que motivaron la reclamación
(pérdida del documento) no fueron reportados por Dynamic a ING como caso de
pérdida de documentación durante el tiempo que duró la relación contractual entre
ambas entidades. En este sentido, en el fichero Excel de seguimiento del mes de
enero de 2023, en la columna donde se codificaban las posibles incidencias
producidas, no consta reportada ninguna. Asimismo, es conveniente aclarar que
cuando ING tuvo certeza de que la pérdida del documento se produjo en el entorno de
prestación de servicios de Dynamic, esta entidad ya no tenía relación contractual con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/43
Dynamic, que fue finalizada en el mes de febrero tal y como consta en las alegaciones
iniciales presentadas”.
CUARTO:
Con fecha 20 de septiembre de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.
QUINTO:
Con fecha 10 de enero de 2025, la Presidencia de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo
83.4.a) del RGPD.
SEXTO:
El 13 de enero de 2025 fue notificado el citado acuerdo de inicio conforme a las
normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP).
El 14 de enero de 2025 la parte reclamada presentó un escrito por el que solicitaba
copia del expediente, así como ampliación del plazo de 10 días facilitado para
presentar alegaciones al acuerdo de inicio.
El 15 de enero de 2025 se acordó la ampliación del plazo por un máximo de 5 días, en
los términos previstos por el artículo 32.1 de la LPACAP, y se remitió copia del
expediente a la parte reclamada de acuerdo con el artículo 53.1 a) de la misma norma.
Tras el mencionado acuerdo de ampliación, el plazo para presentar alegaciones al
acuerdo de inicio por la parte reclamada finalizaba el 3 de febrero de 2025, inclusive.
SÉPTIMO:
El 3 de febrero de 2025 ING presentó un escrito con alegaciones al acuerdo de inicio
en el que, en síntesis, expresaba lo que se recoge a continuación.
1. En la primera alegación bajo el título “Sobre el supuesto de hecho”, además de
recoger los antecedentes de hecho establecidos en el acuerdo de inicio,
señala:
- Con relación a la entidad DYNAMIC asegura que esta pasó a formar parte del
conjunto de proveedores de mensajería de ING de forma temporal y que “tan solo
prestó servicios de mensajería durante 5 meses, para atender un aumento de la
demanda de mensajería puntual”.
- Asegura que DYNAMIC no cumplió con el sistema de reporte y seguimiento que
tenía establecido y no reportó la incidencia en el mes de enero, lo que dificultó la
búsqueda efectuada durante los meses de febrero y marzo por parte de ING.
- Además, señala que la actuación de ING fue diligente ya que, en primer lugar, se
dirigió a su proveedor principal “dado que en el área donde se produce la recogida
de la documentación de la Parte Reclamante (provincia de Pontevedra), un
porcentaje mayoritario de las recogidas son efectuadas por ***EMPRESA.1, ING,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/43
en el marco de su operativa ordinaria, se dirigió a éste en primer lugar, a la hora
de identificar el envío en cuestión y agilizar la localización de la documentación”
Subraya que su proveedor principal es el operador postal organizado en redes de
franquicias con mayor número de colaboradores en el mercado español, mientras
que DYNAMIC es una empresa prestadora de servicios postales no inscrita a una
red de grandes franquicias. Asimismo, asegura que, debido a la segmentación del
sector, es habitual que en un único envío intervengan varias empresas de
transporte o que, en ciertas áreas regionales se dividan “algunos sectores de
cierta forma o, en caso de necesidad, se efectúan sustituciones o delegaciones de
forma puntual entre las propias operadoras. Por lo anterior, esta revisión de las
efectivas entidades intervinientes no puede ser identificada como una falta de
diligencia de ING, sino que alude a la realidad operativa del sector”.
- Señala que la incidencia representa apenas 0,0029% del total de recogidas y
envíos de documentación de los clientes de ING, por lo que considera que las
medidas desplegadas son adecuadas para el 99,9% de los casos restantes.
1. En la segunda alegación, con denominación “Sobre la adecuación de las
medidas de seguridad” ING señala “pese a que en las alegaciones de esta
parte a los distintos requerimientos de información ya se enumeraron las
medidas que se han desplegado (de forma previa, y a posteriori) por parte de
ING” las siguientes medidas:
o Adopción de RAT, conforme al artículo 30 del RGPD.
o Evaluación de impacto conforme al artículo 35 del RGPD.
o Formalización de un contrato con DYNAMIC de acuerdo con el artículo 28
del RGPD en el que se incluyen las medidas de seguridad ya detalladas en
los antecedentes de hecho, incluidas las correspondientes al Anexo IV
anteriormente reproducido.
Además, subraya que el contrato contenía un Acuerdo de nivel de servicio
en su Anexo V en el que se establecía que “en caso de incumplimiento de
la normativa se informará de manera inmediata a ING, así como de las
medidas que adoptará en orden a reestablecer los niveles de servicios
acordado y los plazos de implementación de los mismos”. Subraya que “en
concreto, se establece un período de 24h para la entrega de la
documentación recogida por DYNAMIC, por lo que, la finalización de tal
plazo sin la ejecución de la entrega se categoriza como una incidencia, la
cuál debe ser reportada a ING de forma inmediata. De esta forma, ING
realizaba un seguimiento efectivo, que llevaba asimismo aparejada una
posible penalización en caso de incumplimiento (15% de penalización ante
la existencia de un 2% de incidencias, definidas ésta como la ausencia de
entrega en el plazo de 24h)”.
o Asegura que, durante la prestación del servicio, se estableció, a efectos de
realizar el seguimiento y trazabilidad de la ejecución del servicio, una
remisión de reportes periódica: “cuando estas derivaban en una incidencia
o una recogida fallida, tal y como se evidencia en el DOC 1 Ficheros.pdf ya
aportado con anterioridad al expediente, en el que recoge el reporte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/43
relativo al envío de documentación de la Parte Reclamante”. Esto
demostraría, asegura, que sí que existían, señala, medidas encaminadas a
efectuar una trazabilidad y conocer el estado de las entregas
implementadas por ING.
Añade que “adicionalmente a las medidas estipuladas por ING, DYNAMIC
disponía, como medida a efectos de trazabilidad y seguimiento de los
envíos, de un aplicativo que permitía el seguimiento de la entrega al
usuario o cliente de ING, introduciendo el número del pedido en su web.
Dicha medida fue utilizada por la Parte Reclamante, conforme se evidencia
en la captura que se adjunta a continuación, del informe de interacciones
ya aportado por ING en fase de requerimiento”.
o Realiza revisión periódica de las medidas adoptadas contractualmente y
cuenta con un plan de monitorización anual en base al cual se seleccionan
proveedores de diferente naturaleza.
- Concluye que lo anterior demostraría que contaba con medidas suficientes que,
además, son el “estándar empleado en el sector de los servicios de mensajería en
lo relativo al control y seguimiento de los envíos y recogidas” y que el “riesgo cero”
no existe y no es, por tanto, exigible a ING, tal y como se desprende de la
Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional,
en su Sección 1ª, de 23 de diciembre de 2013, Rec. 341/2012.
1. En la tercera alegación, denominada “sobre el rol del responsable del
tratamiento y la responsabilidad asociada” manifiesta que DYNAMIC sería
responsable del tratamiento conforme al artículo 28.10 del RGPD en la medida
en que ING tenía establecidas medidas de seguimiento y trazabilidad de las
recogidas y envíos de documentación y que DYNAMIC tenía obligación de
realizar reportes periódicos, pero que incumplió esta obligación. Por tanto,
DYNAMIC no reportó el extravío de la documentación en ningún momento y
actuó incumpliendo las instrucciones del responsable. Por lo que sería esta
entidad quien habría incumplido los artículos 28, 33 y 82 del RGPD.
2. En la cuarta alegación, que lleva por título “Sobre la no acreditación de culpa o
negligencia por ING”, la parte reclamada:
- Insiste en que contaba con medidas adecuadas como ha expuesto en su
alegación segunda.
- Asimismo, manifiesta que la documentación se encontraba en un sobre cerrado,
por lo que no ha habido brecha de confidencialidad en la medida en que no consta
que la documentación contenida en el sobre haya sido accedida por terceros no
autorizados.
- Además, expone casos concretos en los que, a su entender, la actuación de la
AEPD habría sido distinta al caso expuesto respecto a la imputación de
infracciones a responsables.
- Asegura que no se ha aplicado el principio de presunción de inocencia y que no
consta que se haya producido daño a la parte reclamante, siendo prueba de ello, a
su parece, que su pareja continúe teniendo la cuenta con su entidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/43
1. En la quinta alegación “Sobre la inadmisión de responsabilidad objetiva”
remarca que se trata de un error individual del encargado del tratamiento y que
no se han tenido en cuenta por la AEPD las medidas que figuraban en el
contrato. Asimismo, reproduce partes de la STS 188/2022 de 15 de febrero de
2022 para indicar que el RGPD establece una obligación de medios y no de
resultados.
2. Por último, en la sexta alegación relativa “Sobre la falta de proporcionalidad de
la infracción” indica que, si bien considera que su actuación ha sido diligente y
que, por tanto, no procede la apertura de un procedimiento sancionador, en
caso de que por parte de la AEPD se considerara la existencia de algún
incumplimiento, ha de valorarse que la cuantía de la sanción fijada inicialmente
es excesiva en la medida que, a su juicio:
- Solo afecta a dos personas.
- No parece que se haya puesto a disposición de terceros no autorizados la
documentación.
- ING nunca ha sido sancionada por el artículo 32 del RGPD, es más nunca se le ha
impuesto una sanción en materia de protección de datos.
- Es una incidencia que representa el 0,0029% de las recogidas.
- Las actuaciones llevadas a cabo por ING a efectos de identificar al proveedor
encargado de la recogida no pueden ser calificadas como un incumplimiento
porque supone consultar a todos los proveedores para poder resolver el asunto. A
este respecto citan otros procedimientos sancionadores dirigidos por la AEPD
contra otras entidades.
- En relación con las circunstancias del artículo 83.2 del RGPD recogidas en el
acuerdo de inicio:
o Respecto a la intencionalidad o negligencia: reiteran que DYNAMIC es
responsable al no haber dado el aviso.
o Respecto a los datos afectados: señalan que no son datos contenidos en
el artículo 9 del RGPD y que no tienen la consideración de sensibles
porque se encontraban en un sobre cerrado.
o En cuanto a la vinculación de su actividad con el tratamiento de datos
personales, aseguran que, si bien ING realiza tratamientos de datos
personales, “la recogida y transporte de documentación no constituye la
actividad principal de ING, ni una actividad complementaria o asidua a su
actividad principal, por lo que no afecta, ni mucho menos, a todos los
clientes de ING, constituyendo una práctica residual dentro de la operativa
de la entidad financiera”.
- Por otra parte, señala que se deberían haber valorado como atenuantes:
o La ausencia de sanciones previas (artículo 83.2 e) del RGPD).
o Tratamiento de datos sin categoría especial (artículo 83.2 g) del RGPD)
o El grado de cooperación con la AEPD (artículo 83.2 f) del RGPD)
o La adhesión a códigos de conducta o mecanismos de certificación (artículo
83.2 j) del RGPD). A este respecto señala que “cuenta con un sistema de
cumplimiento y prevención de riesgos penales certificado de forma
externa, conforme estipula el Artículo 31 Bis del Código Penal. El mismo
ha sido revisado, en el año 2019 por parte de la entidad ERNST &
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/43
YOUNG, S.L., tanto el “Modelo de cumplimiento y prevención de riesgos
penales” como el “Modelo de Prevención del Blanqueo de Capitales”.
o El inexistente beneficio (artículo 83.2 k) del RGPD).
OCTAVO:
El 25 de febrero de 2025, ING remite un escrito por el que comunica, entre otros
aspectos, lo siguiente:
“(…) La contratación de DYNAMIC con ING en septiembre de 2022 trae causa
de la finalización del contrato de prestación de servicios con el previo
proveedor, lo que requirió de una contratación coyuntural (en concreto, el
período fue de 6 meses) hasta que dicha prestación de servicio se cubriera de
forma indefinida.
En el transcurso de esos seis meses, ING emitió una solicitud de propuesta o
Request for Proposal (RFP), de cara a la selección de un proveedor de forma
definitiva, la cual fue finalmente adjudicada a la entidad (…)
El único subencargado autorizado por ING en la prestación de servicios con
DYNAMIC (…) . A excepción de éste, DYNAMIC no ha comunicado a ING la
intervención de ningún proveedor adicional (…)”.
NOVENO:
Según la información disponible en ING.es (https://www.ing.es/sobre-ing/sala-
prensa/resultados-anuales-2022) ING España y Portugal sumó 256.000 nuevos
clientes en 2022. Durante el año 2023, ING superó los 3.000.000 de clientes y sumó
330.000 nuevos clientes (ing.es/sobre-ing/sala-prensa/ing-impulsa-su-crecimiento-
resultados-anuales).
DÉCIMO:
Se acompaña como anexo relación de documentos obrantes en el procedimiento.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO:
ING y DYNAMIC suscribieron un contrato de prestación de servicios de recogida
documental, con su correspondiente contrato de encargo, vigente entre el 1 de
septiembre de 2022 y el 28 de febrero de 2023. Conforme al mismo, ING, responsable
del tratamiento, encomendaba a DYNAMIC, los servicios de recogida de
documentación de los clientes de ING, previa concertación de una cita con la empresa
de mensajería por parte del cliente.
SEGUNDO:
En el marco del contrato anteriormente señalado, el 24 de enero de 2023 la parte
reclamante, cliente de ING, siguiendo las instrucciones facilitadas por esta entidad,
concertó la recogida de documentación relativa a su alta como nuevo interviniente en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/43
una cuenta bancaria. El mismo día, recibe una etiqueta de identificación del envío por
parte de DYNAMIC.
El 26 de enero de 2023 la empresa AUTORADIO, colaboradora de DYNAMIC, recoge
la documentación en el domicilio de la parte reclamante.
TERCERO:
Los días 2,6, 10 y 13 de febrero de 2023 la parte reclamante se pone en contacto con
ING para preguntar si esta entidad había recibido la documentación enviada.
CUARTO:
El 6 de febrero de 2023, tras una nueva llamada de la parte reclamante, ING procede
a la apertura de una incidencia en sus sistemas en la que hace constar el nombre de
la empresa, el número de recogida, el nombre del mensajero y el código de
seguimiento del paquete facilitados por la parte reclamante.
QUINTO:
El 8 de febrero de 2023, ING realiza una consulta a la empresa ***EMPRESA.2,
encargada de la recepción de la documentación por cuenta de ING para confirmar si
se había recibido la documentación remitida por la parte reclamante. Recibe respuesta
negativa el 9 de febrero de 2023.
SEXTO:
El 13 de febrero de 2023, tras la solicitud por vez primera a la parte reclamante de
copia del albarán, y ante la insistencia de este, ING consulta a la empresa de
mensajería ***EMPRESA.1 por la documentación. Tras la negativa de esta, no realiza
ninguna comprobación adicional con otros encargados que, atendiendo a las
características del servicio en relación con el contrato suscrito, pudieran haber tenido
encomendada la recogida en cuestión.
SÉPTIMO:
En la cronología de la incidencia abierta por ING figura como comentario interno de los
días 9 y 16 de febrero que se solicite por parte del departamento correspondiente de
ING de nuevo la documentación al cliente, sin mención alguna a una posible brecha de
datos personales.
OCTAVO:
El 18 de febrero de 2023, ING confirma el extravío de la documentación y solicita a la
parte reclamante que remita de nuevo la documentación si desea continuar con el
proceso alta como interviniente en una cuenta bancaria.
NOVENO:
La documentación extraviada contenía los datos personales de la parte reclamante
presentes en el formulario remitido (nombre, apellidos, número de DNI, fecha de
nacimiento, país de nacimiento, nacionalidad, país de residencia fiscal, dirección de
correo electrónico, número de teléfono móvil, datos de actividad laboral, domicilio y
rúbrica) y los datos personales de la pareja de la parte reclamante (nombre, apellidos,
número de DNI, número de cuenta y rúbrica). Además, entre la documentación
extraviada constaba una copia completa del DNI de la parte reclamante, que tenía que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/43
ser facilitada al mensajero, de acuerdo con las instrucciones del formulario de alta de
nuevo interviniente de ING y los datos personales consignados en la etiqueta.
DÉCIMO:
El 16 de mayo de 2023, en contestación a una reclamación presentada ante la OMIC
(Oficina Municipal de Información al Consumidor) del ***AYUNTAMIENTO.1 por la
parte reclamante, ING le comunica que se ha vuelto a poner en contacto con
***EMPRESA.1 para preguntar por la documentación extraviada. ING no realiza
consultas a otros encargados que, atendiendo a las características del servicio en
relación con el contrato suscrito, pudieran haber tenido encomendada la recogida en
cuestión.
UNDÉCIMO:
El 1 de septiembre de 2023, tras el traslado de la reclamación por la AEPD, ING
contacta por primera vez con DYNAMIC para confirmar si la recogida del 26 de enero
de 2023 en el domicilio de la parte reclamante había sido realizada por esta o alguno
de sus colaboradores.
DUODÉCIMO:
El contrato entre ING y DYNAMIC contaba con un Anexo IV en el que se consagraban
las medidas de seguridad a cumplir por el encargado del tratamiento. Entre las
diferentes medidas constaban, entre otras, medidas destinadas a la seguridad física y
la seguridad cibernética, sin que figuraran medidas dirigidas a garantizar la trazabilidad
de los envíos de documentación.
DÉCIMOTERCERO:
El contrato entre ING y DYNAMIC contaba con un Anexo V- Acuerdo Nivel de Servicio,
en el que se preveían penalizaciones en caso de incumplimiento de DYNAMIC. No
obstante, ING no ejercitó acciones contra DYNAMIC por el extravío de la
documentación remitida por la parte reclamante, aun cuando este se hubiera
producido durante la vigencia del contrato.
DÉCIMOCUARTO:
ING España y Portugal cuenta con un volumen de negocios1.091.000.000 euros en el
año 2023, de acuerdo con la información disponible en ING.es (ing.es/sobre-ing/sala-
prensa/ing-impulsa-su-crecimiento-resultados-anuales).
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/43
II
Procedimiento
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.
III
Cuestiones previas
El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que DYNAMIC
recoge y conserva datos personales de la parte reclamante que remitía documentación
a la entidad bancaria ING. Entre los datos tratados se encuentran el nombre, apellidos,
nº de DNI, copia del DNI o la dirección postal.
DYNAMIC realiza esta actividad en su condición de encargado del tratamiento del
tratamiento, dado que ING es quien determina los fines y los medios de la actividad de
conformidad con el artículo 4.7 del RGPD, mientras que DYNAMIC trata (durante la
vigencia del contrato) los datos personales por cuenta del responsable del tratamiento
en virtud del artículo 4.8 del RGPD.
Así, en este supuesto, ING es el responsable del tratamiento. Como se ha indicado, el
RGPD establece que es responsable del tratamiento quien determina los fines y los
medios de dicho tratamiento. En este sentido, el artículo 4.7 del RGPD dispone:
“7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros,
determine los fines y medios del tratamiento;(…)” (subrayado de la AEPD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/43
Por su parte, las Directrices del CEPD 07/2020 destacan que los conceptos de
responsable del tratamiento y encargado del tratamiento son conceptos funcionales,
siendo necesario establecerlos en virtud de sus actividades concretas en el caso
analizado y no en función de la designación formal que pueda figurar en el contrato:
“12. Los conceptos de «responsable del tratamiento» y «encargado del
tratamiento» son conceptos funcionales: su objetivo es asignar
responsabilidades en función del papel real de cada parte. Esto implica que la
condición jurídica de «responsable del tratamiento» o «encargado del
tratamiento» de los participantes debe establecerse en principio en virtud de sus
actividades concretas en una situación determinada y no en función de la
designación formal de un participante como «responsable del tratamiento» o
«encargado del tratamiento» (p. ej., en un contrato).Esto implica que la
asignación de la función de responsable o encargado debe derivar normalmente
de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es
negociable.” (subrayado de la AEPD).
Asimismo, las referidas Directrices del CEPD 07/2020 abogan por una interpretación
amplia del concepto de responsable del tratamiento con el fin de promover una
protección eficaz y completa de los interesados. En este sentido, prevén:
“14. Puesto que el objetivo último de la atribución de la función de responsable
del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz
e integral de los datos personales, el concepto de «responsable» debería
interpretarse de un modo suficientemente amplio, de manera que promueva, en
la medida de lo posible, una protección eficaz y completa de los interesados ,
con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de
protección de datos, evitar lagunas y prevenir las posibles elusiones de la
normativa, sin que todo ello suponga una merma de las atribuciones del
encargado del tratamiento.” (subrayado de la AEPD).
A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices del CEPD
destacan:
“20. (…) El responsable del tratamiento es quien decide determinados aspectos
esenciales del tratamiento de los datos. La responsabilidad del tratamiento
puede establecerse en la normativa o deducirse de un análisis de los hechos o
las circunstancias del caso. Es necesario dirigir la atención a las actividades de
tratamiento concretas de que se trate y comprender quién las determina. Para
ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar
el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento
para un fin concreto?».” (subrayado de la AEPD).
Por su parte, como se ha señalado, DYNAMIC es encargado del tratamiento:
El artículo 4.8 del RGPD establece:
“8) «encargado del tratamiento» o «encargado»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento;” (subrayado de la AEPD).
Las Directrices del CEPD 07/2020 indican dos condiciones fundamentales para ser
considerado encargado del tratamiento:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
20/43
“76. Para ser considerado encargado del tratamiento, es necesario reunir dos
condiciones fundamentales:
a) ser un ente independiente del responsable del tratamiento; y
b) tratar datos personales por cuenta del responsable.” (subrayado de la AEPD)
Ambas condiciones concurren en el supuesto analizado:
Por una parte, DYNAMIC es un ente independiente de ING (responsable del
tratamiento). Por otra, DYNAMIC trata los datos de clientes o potenciales clientes de
ING y hace llegar a esta última la documentación remitida por aquellos.
Además, los tratamientos de datos personales de clientes o potenciales clientes de
ING, los realiza DYNAMIC se llevan a cabo siguiendo los intereses de ING.
Tal y como ha indicado el Comité Europeo de Protección de Datos (CEPD) en sus
Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses:
“80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un
responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar
«por cuenta de» alguien significa servir los intereses de otro y remite al concepto
jurídico de «delegación».”
Las referidas Directrices del CEPD 07/2020 resaltan que nada impide que el
encargado del tratamiento (en este caso, DYNAMIC) ofrezca un servicio previamente
definido:
“84. Tal como se ha indicado previamente, nada impide que el encargado del
tratamiento ofrezca un servicio previamente definido, pero el responsable del
tratamiento debe adoptar la decisión final de aprobar el modo en que se
efectuará el tratamiento, al menos en lo relativo a los medios esenciales.”
(subrayado de la AEPD).
En el presente caso, la relación jurídica entre ING y DYNAMIC como responsable y
encargado del tratamiento, respectivamente, se pone de manifiesto en el contrato
suscrito entre ambas vigente entre el 1 de septiembre de 2022 hasta el 28 de febrero
de 2023, en el que se establece que “(…)”.
IV
Contestación a las alegaciones al acuerdo de inicio
Conviene, en primer término, contestar las alegaciones efectuadas por ING a las que
se ha hecho referencia en los antecedentes de hecho:
1. En relación con la primera alegación:
- Se señala que, aun cuando la relación entre ING y DYNAMIC tuviera lugar durante
un corto periodo de tiempo, esto no exime del cumplimiento de la normativa en
materia de protección de datos. En este sentido se remarca que el RGPD
establece en su artículo 28.1 la obligación de que el responsable del tratamiento
elija a un encargado adecuado con independencia de la duración de la relación
entre ambos. No obstante, la duración del contrato, en tanto que determina la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
21/43
duración de la infracción, habrá de ser tenido en cuenta a la hora de determinar la
cuantía de multa.
- En cuanto al alegado incumplimiento por parte DYNAMIC respecto al sistema de
reporte y seguimiento que había establecido ING, y que este hecho dificultó que
ING tuviera conocimiento de la incidencia, se señala que el mencionado sistema
establecía penalizaciones en caso de incumplimiento por parte del proveedor: ING
asegura en su escrito que el incumplimiento debe entenderse como retrasos en la
entrega de la documentación recogida, que debía realizarse en 24 horas.
Asimismo, establecía la siguiente penalización: “más del 2% de incidencias en las
recogidas se penalizará con 15% en el coste unitario de las recogidas afectadas”.
No obstante, en la página 13 de su escrito de alegaciones señala que el sistema
de reporte se centraba en las incidencias durante la recogida de la
documentación, presentando una tabla ejemplificativa a estos efectos.
En el presente caso, la recogida se realizó en la fecha prevista (el 26 de enero de
2023) y fue posteriormente cuando se produjo el incidente. Ahora bien, de acuerdo
con lo señalado por ING, ING tendría que haber recibido la documentación el 27
de enero de 2023, y no lo hizo. No obstante, ING no detectó este retraso, puesto
que carecía de mecanismos de alerta temprana que pudieran advertirle sobre un
posible incumplimiento en el plazo de entrega por parte de su encargado.
Asimismo, carecía de medidas de trazabilidad que le permitieran conocer la
entidad que había recogido el pedido y en qué fecha, así como la fecha estimada
de recepción.
El sistema previsto, de acuerdo con lo alegado por ING, exigía que el encargado
informara sobre las incidencias, sin establecer ninguna otra forma de control para
asegurar el cumplimiento, dejando este enteramente en manos de su encargado.
Esto pone de manifiesto, de nuevo, la ausencia de medidas imputadas que
permitieran a ING verificar y asegurarse del adecuado cumplimiento por parte de
su encargado, a través, por ejemplo, de medidas de trazabilidad sobre la
documentación durante la vigencia del contrato entre las dos entidades.
En línea con lo anterior, se remarca que, si bien DYNAMIC no informó de la
incidencia, ING tuvo conocimiento de esta a través del afectado, que se puso en
contacto con la entidad por vez primera para alertar sobre la situación el 2 de
febrero de 2023. No obstante, la entidad no generó una incidencia en su sistema
hasta el día 6 de febrero de 2023. En el texto de la incidencia ya figura el nombre
de la empresa de transporte que realizó la recogida. No obstante, ING no supo
identificar a su encargado hasta el 1 de septiembre de 2023, a raíz de la
intervención realizada por la AEPD, a pesar de los avisos previos realizados por el
afectado, incluyendo su reclamación ante la OMIC en abril de 2023.
En cualquier caso, tal y como ha confirmado ING, una vez se tuvo conocimiento
de la incidencia y se logró identificar al encargado, no se establecieron
penalizaciones o se exigieron responsabilidades contra DYNAMIC por parte de
ING, aun cuando la pérdida de los datos personales se produjera durante la
vigencia del contrato, de lo que se deduce que no se apreció incumplimiento.
- En cuanto a la alegada actuación diligente por parte de ING, puesto que su
primera reacción fue dirigirse a su proveedor principal -y no al encargado que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
22/43
tenía encomendada la recogida, DYNAMIC-, resulta pertinente recordar la
cronología de los acontecimientos:
o El afectado se pone en contacto por primera vez con ING el 2 de febrero
de 2023.
o La incidencia no se abre en el sistema hasta el día 6 de febrero de 2023.
Como se ha indicado, en dicha incidencia ya figura el nombre de la
empresa que realizó la recogida, el número de la recogida, el número de
seguimiento y el nombre del mensajero.
o El 9 de febrero de 2023, una vez se ha recibido respuesta negativa de la
empresa encargada de manera centralizada de recepcionar la información
(***EMPRESA.2) ya figura en el comentario de la incidencia “solicitad
nuevo envío”.
o El contacto con su proveedor principal no se produce hasta el 13 de
febrero, tras una nueva llamada del afectado y tras solicitarle ING (11 días
más tarde desde la primera llamada) que remitiera copia del albarán de la
recogida.
o Una vez que se recibe respuesta del proveedor principal, y este asegura
que no localiza el envío, ING se limita a cerrar la incidencia y a solicitar al
afectado que remita de nuevo la documentación.
o En ningún momento se solicitó al afectado que remitiera, por ejemplo, la
etiqueta de recogida o el correo electrónico de confirmación de la recogida
del que ING hubiera podido obtener más información que le hubieran
permitido identificar a su encargado.
o ING no realizó ninguna gestión o comprobación adicional hasta que recibe
la reclamación presentada en abril de 2023 por la parte reclamante ante la
OMIC. De nuevo, la única actuación realizada por ING consiste en reiterar
la consulta al mismo proveedor principal.
o Finalmente, el 1 de septiembre de 2023, tras el traslado de la reclamación
por parte de esta Agencia, ING contacta con DYNAMIC para comprobar si
fue el encargado que tenía encomendado la recogida de la documentación.
Lo anterior pone de manifiesto que ING desconocía los encargados -que
actúan por delegación del responsable- que podían, por el tipo de contrato de
servicios suscrito, haber sido susceptibles de recoger la documentación, no ya
en el domicilio de la parte reclamante, sino en una fecha determinada y en una
localidad determinada.
- Por otra parte, respecto a su aseveración relativa a que la segmentación del
sector hace habitual que en un único envío intervengan varias empresas de
transporte, debe precisarse que lo anterior no exime del cumplimiento de la
normativa en materia de protección de datos, máxime si la dinámica del sector es
conocida por el responsable y puede exigir, atendiendo al riesgo identificado,
reforzar las medidas de seguridad acordes a este, así como adaptarse al resto de
exigencias del RGPD.
- Por último, respecto al porcentaje que la incidencia representa en relación con el
conjunto de los envíos realizados por ING, se señala que el incidente ha puesto de
manifiesto la ausencia de medidas de seguridad técnicas y organizativas
adecuadas al riesgo por parte de ING, al menos durante la vigencia del contrato
en cuestión, esto es, del 1 de septiembre de 2022 hasta el 28 de septiembre de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
23/43
2023. Esa ausencia de medidas general afecta a la totalidad de los envíos de
documentación realizados durante ese periodo. Estos hechos son los que
conllevaron la apertura del presente procedimiento sancionador.
1. Respecto a la segunda alegación, con denominación “ Sobre la adecuación de
las medidas de seguridad”
- En lo referente a las medidas alegadas por ING, se recuerda, en primer término,
que la elaboración de un RAT, una EIPD o la suscripción de un contrato de
encargado son obligaciones del responsable prescritas, respectivamente, por los
artículos 30, 35 y 28 del RGPD. Por otra parte, tal y como se señalaba en el
acuerdo de inicio, corresponde al responsable establecer en el contrato de
encargo las medidas necesarias de conformidad con el artículo 32 del RGPD. A
este respecto, se subraya que, de conformidad con las Directrices 07/2020 sobre
los conceptos de «responsable del tratamiento» y «encargado del tratamiento», el
CEPD permite libertad sobre el nivel de detalle de las medidas determinadas por
el responsable, sin que, en ningún caso, pueda tratarse de una mera reproducción
del RGPD. Además, las medidas deben adecuarse al riesgo y han de establecer,
al menos, los objetivos de seguridad (en función de la evaluación del riesgo del
responsable). En el presente caso, entre las medidas establecidas, no figura
ninguna relativa a garantizar la trazabilidad de los envíos de documentación para
conocer la ubicación precisa de estos. Es más, todas las medidas parecen ir
destinadas a asegurar el cumplimiento de los objetivos de disponibilidad de los
datos en los sistemas de información, ataques cibernéticos y de la seguridad física
de los paquetes y las instalaciones donde estos se custodien.
- En cuanto a las referencias al Anexo V del contrato, y a que su sistema de
penalizaciones podía entenderse como una medida destinada a garantizar la
trazabilidad, se reitera lo señalado en la contestación a la primera alegación. Se
resalta, en cualquier caso, que ING presenta un ejemplo de los “reportes
periódicos” que tenían que ser enviados por DYNAMIC. Tal y como indica en sus
propias alegaciones “los reportes se efectuaban en documentos que identificaban
cada una de las recogidas realizadas por DYNAMIC para ING (…). A
continuación, se proporciona una captura de pantalla ejemplificativa del contenido
de los reportes”. El contenido del reporte hace referencia exclusivamente a las
incidencias existentes durante la recogida de la documentación, señalando como
incidencias: “dirección incompleta, ausente por segunda vez, ausente (…)”. De lo
anterior se evidencia, que el objetivo de los reportes se circunscribía
exclusivamente a las incidencias producidas durante la recogida. En el presente
caso, la recogida se produjo sin incidentes en la fecha prevista.
Por otra parte, el hecho de que DYNAMIC contara con una aplicación que
permitiera al cliente el seguimiento de su documentación, no puede confundirse ni
equipararse con la existencia de medidas técnicas y organizativas apropiadas
para garantizar un nivel de seguridad adecuado al riesgo que se exigen a ING, en
tanto que responsable, conforme al artículo 32 del RGPD y que permitan a ING
garantizar el control de las entregas postales, estableciendo un sistema viable de
comprobación de la trazabilidad de la documentación enviada, unida al
seguimiento de las reclamaciones para asegurar la alerta temprana de posibles
brechas de datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
24/43
- En relación con las revisiones periódicas de las medidas adoptadas que alega
ING, se subraya que el propio RGPD establece un nuevo enfoque basado en la
gestión del riesgo que no es estático y, por ende, requiere de evaluaciones
periódicas destinadas a garantizar el cumplimiento del RGPD en su conjunto, en el
marco del principio de responsabilidad proactiva del responsable, reconocida en el
artículo 5.2 del RGPD y desarrollada en el artículo 24 del RGPD. Asimismo, en
relación con el plan de monitorización anual en base al cual se seleccionan
proveedores, lo que pondría de manifiesto la existencia, según ING, de medidas
de seguridad adecuadas al riesgo, se subraya que es obligación del responsable,
conforme al artículo 28 del RGPD seleccionar un encargado que presente
garantías suficientes para aplicar medidas técnicas y organizativas apropiados
para que el tratamiento sea conforme a lo previsto en el RGPD.
- Por último, asegura ING que contaba con el “estándar” de medidas del sector
respecto a los servicios de mensajería y que la inexistencia del riesgo cero impide
la exigibilidad de la infalibilidad absoluta de las medidas. Al respecto, hay que
hacer referencia a la SAN de 29 de octubre de 2024, rec. 1824/2021, que dispone
que:
“…se ha de subrayar, en relación con las medidas técnicas y organizativas,
que no estamos ante un requisito meramente formal, sino material. En este
sentido, y en línea con lo expuesto más arriba, como señala la STS de 15 de
febrero 2022 (Rec. 7359/2020) “No basta con diseñar los medios técnicos y
organizativos necesarios también es necesaria su correcta implantación y su
utilización de forma apropiada, de modo que también responderá por la falta de
la diligencia en su utilización, entendida como una diligencia razonable
atendiendo a las circunstancias del caso", lo que no implica que se exija una
obligación de resultado”.
En la misma línea la STJUE de 14 de diciembre de 2023, Natsionalna agentsia
za prihodite, asunto C-340/21, EU:C:2023:986:
“[la adopción de medidas de seguridad en materia de protección de datos de
carácter personal] no se cumple con la adopción de cualquier medida, pues
deben ser las necesarias para garantizar aquellos objetivos que marca el
precepto, y por supuesto, no basta con la aprobación formal de las medidas de
seguridad, ya que resulta exigible que aquéllas se instauren y pongan en
práctica de manera efectiva. Hemos considerado, en consecuencia, que se
impone una obligación de resultado, consistente en que se adopten las
medidas necesarias para evitar que los datos se pierdan, extravíen o acaben
en manos de terceros. En definitiva, todo responsable de un fichero (o
encargada de tratamiento) es, por disposición legal, una deudora de seguridad
en materia de datos debiendo asegurarse de que dichas medidas o
mecanismos se implementen de manera efectiva en la práctica.”
Y de manera similar la STS de 15 de febrero 2022 (Rec. 7359/2020) indica que;
“(…) no basta con diseñar los medios técnicos y organizativos necesarios
también es necesaria su correcta implantación y su utilización de forma
apropiada, de modo que también responderá por la falta de la diligencia en su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
25/43
utilización, entendida como una diligencia razonable atendiendo a las
circunstancias del caso”.
De lo anterior se concluye que el cumplimiento del artículo 32 del RGPD exige no solo
la adopción o diseño de medidas de seguridad adecuadas al riesgo, sino su adecuada
implementación y seguimiento.
Asimismo, cabe citar la sentencia del Tribunal Constitucional 94/1998, de 4 de mayo,
en la que el Tribunal Constitucional señalaba que nos encontramos ante un derecho
fundamental a la protección de datos por el que se garantiza a la persona el control
sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar
el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados;
de esta forma, el derecho a la protección de datos se configura como una facultad del
ciudadano para oponerse a que determinados datos personales sean usados para
fines distintos a aquel que justificó su obtención.
Por tanto, el enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD
-partiendo de la doble configuración de la seguridad como un principio relativo al
tratamiento y una obligación para el responsable o el encargado del tratamiento- no
impone en ningún caso la infalibilidad de las medidas, sino su adecuación constante al
riesgo.
1. En contestación a la tercera alegación, denominada “sobre el rol del
responsable del tratamiento y la responsabilidad asociada” por la que señala
que el responsable sería DYNAMIC en tanto que este habría incumplido sus
obligaciones, se señala lo siguiente:
Tal y como se ha señalado en contestación a las alegaciones anteriores,
corresponde al responsable la adopción de las medidas de seguridad
necesarias, adecuadas al riesgo, sean estas de índole preventiva, detectora,
correctiva o de mejora.
Asimismo, el responsable debe facilitar al encargado las medidas de seguridad
que este debe seguir o implementar, ya sea en mayor o menor detalle, pero
indicando, en cualquier caso, los objetivos de seguridad perseguidos.
En el presente caso, tal y como se ha señalado, las instrucciones facilitadas a
DYNAMIC no contenían mención alguna a un sistema de trazabilidad que
permitiera conocer la ubicación de la documentación por parte de ING, sino
que se centraban en aspectos relativos a seguridad física e informática. Por
otra parte, el sistema de reporte periódico se circunscribía a incidencias
respecto a la recogida de la documentación.
Por otra parte, y con independencia de lo anterior, en cualquier caso, ING
carecía de mecanismos de alerta temprana que permitieran detectar posibles
brechas de datos personales, o que le permitieran verificar el cumplimiento y
realizar un control sobre su encargado. Además, ING tuvo conocimiento de la
incidencia a través del propio afectado, aun cuando DYNAMIC no le informara,
y no supo identificar al encargado al que encomendó la recogida de la
documentación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
26/43
2. En lo referente a la cuarta alegación, que lleva por título “ Sobre la no
acreditación de culpa o negligencia por ING”:
- Respecto a la reiteración realizada por ING sobre que contaba con medidas de
seguridad adecuadas al riesgo tal y como expuso en la alegación segunda, se
remite a la contestación realizada a esa alegación. Se insiste, no obstante, en que
el RGPD supone un nuevo enfoque orientado al riesgo en el que la
responsabilidad proactiva del responsable ocupa un papel central. Así, el
responsable no solo tendrá que adoptar medidas y cumplir con las obligaciones de
hacer o no hacer que le imponga expresa o tácitamente el RGPD, sino que tendrá
que ser capaz de demostrar en todo momento que el tratamiento efectuado es
acorde a la normativa.
El artículo 32 del RGPD supone una manifestación de las obligaciones de
responsabilidad proactiva que el RGPD impone al responsable y supone la
exigencia de adoptar e implementar medidas de seguridad de todo tipo para
garantizar un nivel de seguridad adecuado al riesgo durante todo el ciclo del
tratamiento de los datos personales.
- Por otra parte, ING asegura que, en tanto que la documentación se encontraba en
un sobre cerrado, no ha podido producirse una brecha de confidencialidad, en la
medida en que no consta que la documentación contenida en el sobre haya sido
accedida por terceros no autorizados. Al respecto se señala que una brecha de
datos personales, de acuerdo con el RGPD, puede afectar tanto a la
disponibilidad, a la confidencialidad o la integridad de estos. La confidencialidad
implica el acceso por parte de terceros no autorizados, mientras que la integridad
supone que estos son corrompidos o alterados por terceros no autorizados. Por su
parte, la disponibilidad afecta a la pérdida de estos, como ocurrió con los datos
personales de la parte reclamante. En cualquier caso, se subraya que en el
presente procedimiento se imputa un artículo 32 del RGPD, que hace referencia a
la adopción e implementación de medidas de seguridad adecuadas al riesgo
capaces de garantizar la confidencialidad, integridad, disponibilidad de los datos
personales.
- En cuanto a otras resoluciones de la AEPD a las que hace referencia, se subraya
que las resoluciones de esta Agencia se basan en el análisis de las circunstancias
concretas del caso concreto, sin que se aprecie en este caso concreto, la
pertinencia de la aplicación del principio de presunción de inocencia, en la medida
en que se ha producido la pérdida de los datos personales de la parte reclamante,
siendo este hecho reconocido por la propia parte reclamada, poniéndose de
manifiesto, en consecuencia, la ausencia general de medidas de seguridad
adecuadas al riesgo de ING, al menos durante la vigencia del contrato entre ING y
DYNAMIC.
- En relación con la aseveración de que no se ha producido, bajo criterio de ING,
daño a la parte reclamante, siendo prueba de ello, que su pareja continúa
teniendo la cuenta en su entidad, conviene señalar el derecho a la protección de
datos es un derecho fundamental constitucionalmente reconocido en el artículo
18.4 de la CE. Este derecho fundamental reconoce el derecho de los ciudadanos
al control sobre sus datos, tengan estos datos o no dimensión constitucional. La
pérdida de los datos personales de la parte reclamante supone por sí misma una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
27/43
lesión a su derecho fundamental de protección de datos, sin que sea relevante
que la pareja del afectado mantenga o no su cuenta en la entidad reclamada.
1. En lo referente a la quinta alegación “Sobre la inadmisión de responsabilidad
objetiva”:
- Se subraya que, con carácter general, el responsable del tratamiento responde de
las actuaciones de su encargado, en la medida en que este actúa por cuenta de
este y conforme a sus instrucciones en los términos señalados en las cuestiones
previas de este documento. Sin perjuicio de lo anterior, se subraya que, en el
presente caso, el objeto del presente procedimiento sancionador es la ausencia de
medidas de seguridad adecuadas al riesgo de ING durante la vigencia de su
contrato con DYNAMIC, aun cuando estas se hubieran puesto de manifiesto a raíz
del extravío de documentación de la parte reclamante.
- En lo relativo a que el RGPD establece una obligación de medios y no de
resultados, se remite a lo señalado a este respecto en la contestación a la
alegación segunda.
1. Respecto a la sexta alegación denominada “Sobre la falta de proporcionalidad
de la infracción” por la que se cuestiona la proporcionalidad de la multa:
- En cuanto a que la incidencia únicamente ha afectado a dos personas y que
representa un porcentaje muy bajo de incidencias respecto al total de recogidas
realizadas por o en nombre de ING, se reitera que, si bien la reclamación ha sido
interpuesta por un único reclamante respecto a unos hechos concretos que le
afectan a él y a su pareja, a raíz de la brecha de datos personales producida, se
ha puesto de manifiesto la ausencia de medidas técnicas y organizativas de
seguridad adecuadas al riesgo por parte de ING que afectan no únicamente a dos
personas, sino, potencialmente a la totalidad de clientes de ING que hicieron uso
de su servicio de mensajería para la remisión de documentación (que contenía
datos de carácter financiero) durante la vigencia del contrato con DYNAMIC. Este
elemento debe valorarse de conformidad con el artículo 83.2 a) del RGPD.
- Por otra parte, tal y como se ha explicado durante la contestación a la alegación
cuarta, existen distintos tipos de brechas de datos personales, entre las que se
incluye la de disponibilidad.
- El hecho de que ING no haya sido sancionada previamente en materia de
protección de datos no influye en que, en el presente caso, se haya producido una
infracción en esta materia, que ha de sancionarse de conformidad con la
normativa vigente. Además, si bien el artículo 83.2 e) contempla cualquier
infracción anterior del responsable del tratamiento como una circunstancia
agravante, no prevé la inexistencia de infracción previa como circunstancia
atenuante.
- Por otra parte, asegura ING que las actuaciones llevadas a cabo para identificar al
proveedor no pueden ser calificadas como incumplimiento. No obstante, se
subraya que la circunstancia valorada es la ausencia de control que el
responsable tiene respecto a sus encargados, al desconocer quién tenía
encomendado el servicio y no contactar con DYNAMIC hasta septiembre de 2023,
7 meses más tarde y raíz del traslado de la reclamación efectuado por la AEPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
28/43
todo ello obviando las numerosas ocasiones en las que el afectado se puso en
contacto con ING para alertar sobre la situación.
En relación con los ejemplos de otros procedimientos sancionadores resueltos por
la AEPD, conviene precisar que, de conformidad con el artículo 83.2 del RGPD las
multas se han de imponer atendiendo a las circunstancias del caso individual y
que su cuantía, en cada caso individual, ha de tener en cuenta las circunstancias
concretas del caso concreto. A este respecto, las Directrices 04/2022 sobre el
cálculo de las multas bajo el RGPD establecen que el punto de partida para la
imposición de las multas se fijará conforme a tres elementos esenciales: el
volumen de negocios de la reclamada, la tipificación de la infracción de acuerdo
con el RGPD y el nivel de gravedad de esta.
- Respecto a las alegaciones efectuadas por ING relativas a las circunstancias del
artículo 83.2 del RGPD recogidas en el acuerdo de inicio:
o En lo relativo a la ausencia de intencionalidad o negligencia en la medida
en que DYNAMIC no alertó sobre el extravío de la documentación. Se da
por reproducida la contestación a las alegaciones relativas a la ausencia
de aviso por parte de DYNAMIC y cómo se ha puesto de manifiesto la
inexistencia de un sistema de alerta temprana por parte de ING. Asimismo
se insiste en que ING no ejercitó ninguna acción contra DYNAMIC por
estos hechos y que, además, en la respuesta al traslado de la reclamación
por parte de la AEPD, ING señaló: “(…) desde la empresa DYNAMIC nos
han informado (…) de que efectivamente dicho documento fue extraviado,
entendemos que probablemente debido a un error humano puntual. (…)
Desde el punto de vista de acciones de carácter contractual, entendemos
que no es necesario adoptar ninguna medida porque ING ya dispone en
los contratos firmados con las empresas de mensajería con las que
colabora acuerdos de niveles de servicios y de penalizaciones previstas
para el caso de que los servicios no se presten adecuadamente. (…) Sin
embargo, entendemos que el extravío del formulario se ha producido por
un error puntual de la empresa de mensajería (…)”.
o En cuanto a la alegación relativa a que no procede la aplicación del artículo
83.2 g) del RGPD, dado que los datos personales que contenía la
documentación extraviada no se correspondían con los del artículo 9 del
RGPD, se significa que la aplicación del artículo 83.2 g) procede en este
caso. Algunos de los datos personales afectados, aun sin ser datos de
categoría especial previstos en el artículo 9 del RGPD, tienen la
consideración de sensibles en los términos previstos por las Directrices
04/2022 y son nombrados específicamente por estas: número de cuenta
bancaria o copia completa del DNI. En este sentido se subraya que el DNI,
por ejemplo, permite la identificación directa e inequívoca de una persona
física. Tal y como establece el Real Decreto 1553/2005, el DNI es un
identificador numérico personal de carácter general, con valor suficiente
para acreditar tanto la identidad como la nacionalidad del titular, lo que lo
convierte en un elemento especialmente sensible dentro del ecosistema de
datos personales. Además, su utilización indebida conlleva un elevado
riesgo de suplantación de identidad, daños patrimoniales o afectación al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
29/43
derecho al honor, riesgos expresamente contemplados en el considerando
75 del RGPD.
Además, no puede obviarse que la combinación de este tipo de datos
personales (DNI y número de cuenta bancaria entre sí, así como con otro
tipo de datos no considerados sensibles) eleva significativamente el nivel
de riesgo para los derechos y libertades de sus titulares. Esto se debe a la
circunstancia de que dicha combinación no solo aumenta la cantidad de
información disponible para un actor malicioso, sino que también amplía el
espectro de posibles abusos, dado que no se trata de datos aislados o
piezas individuales de información, sino de la exposición de un conjunto
integrado de datos personales que cuando se combinan, pueden ser
utilizados para construir un perfil completo y detallado de un individuo.
o En cuanto a la aplicación del agravante del artículo 76.2 b) de la
LOPDGDD, respecto a la que ING asegura que la actividad de transporte
es una actividad residual y que, por ende, no procede su aplicación, se
debe precisar que el acuerdo de inicio no indica que la actividad principal
de ING sea la recogida y transporte de documentación, sino que la
realización de actividades financieras, que es la actividad principal de ING,
implica forzosamente operaciones de tratamiento de datos personales de
las personas físicas clientes (o potenciales clientes) de dicha entidad. Por
tanto, la infracción se produce en el marco de un tratamiento de datos
personales que habitualmente realiza el responsable en su negocio y que
se encuentra estrechamente vinculado a este.
o En cuanto a la alegación de que se deberían haber valorado como
atenuantes las circunstancias de los artículos 83.2 e) y k) del RGPD, se
hace notar, que, tal y como señala la sentencia de la Audiencia Nacional,
de 05/05/2021, rec. 1437/2020, no puede ser valorados como atenuantes,
circunstancias que la norma prevé como agravantes. En concreto, señala:
“considera, por otro lado, que debe apreciarse como atenuante la no
comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD
establece que debe tenerse en cuenta para la imposición de la multa
administrativa, entre otras, la circunstancia "e) toda infracción anterior
cometida por el responsable o el encargado del tratamiento". Se trata de
una circunstancia agravante, el hecho de que no concurra el presupuesto
para su aplicación conlleva que no pueda ser tomada en consideración,
pero no implica ni permite, como pretende la actora, su aplicación como
atenuante”; aplicado al supuesto enjuiciado, la falta del presupuesto para
su aplicación respecto del art. 76.2.c) de la LOPDGDD, esto es, obtener
beneficios consecuencia de la infracción, no permite su aplicación como
atenuante.” Lo mismo ocurre en relación con el artículo 83.2 f), sin olvidar,
además, que la cooperación con la autoridad de control por parte del
responsable es una obligación prevista por el RGPD. En este sentido, la
misma sentencia señala: “respecto de la propugnada aplicación como
atenuante de la circunstancia f) del artículo 83.2 del RGPD ' el grado de
cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción’, basta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
30/43
remitirnos a lo expuesto en el Fundamento de Derecho para rechazar la
aplicación de dicha atenuante”.
Por otra parte, tampoco puede utilizarse como atenuante el artículo 83.2
g), porque, tal y como se ha explicado, las Directrices 04/2022 incluyen
expresamente datos personales que van más allá de los previstos en los
artículos 9 y 10 del RGPD, que se encuentran presentes en este caso.
Por último, en cuanto la aplicación del atenuante contenido en el artículo
83.2 j) del RGPD, se remarca que este artículo hace referencia a los
códigos de conducta previstos por los artículos 40 del RGPD, esto es, en
materia de protección de datos. Los alegados por la parte reclamada se
refieren a códigos de conducta en el ámbito penal y de blanqueo de
capitales.
Sin perjuicio de lo anterior, se recalca que, en el presente caso, a la hora de
valorar las circunstancias determinantes para la imposición de una multa, debe
tenerse en cuenta, además del número de afectados (tanto concretos como
potenciales), la duración del contrato entre ING y DYNAMIC, que no superó los 6
meses, como uno de los elementos esenciales del artículo 83.2 a) del RGPD, lo
que, previsiblemente suponga una disminución de la cuantía prevista en el
acuerdo de inicio.
V
Obligación incumplida. Seguridad del tratamiento
El artículo 32 del RGPD estipula lo siguiente:
"1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
31/43
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros."
En este sentido, el considerando 74 del RGPD establece que:
“(74) Debe quedar establecida la responsabilidad del responsable del tratamiento por
cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En
particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y
ha de poder demostrar la conformidad de las actividades de tratamiento con el
presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el
riesgo para los derechos y libertades de las personas físicas”.
Por su parte, las Directrices 7/2020 del CEPD determinan que (el subrayado es de la
AEPD):
“125. El artículo 32 requiere que el responsable y el encargado apliquen
medidas técnicas y organizativas de seguridad apropiadas. Aunque esta
obligación ya se impone directamente al encargado cuyas operaciones de
tratamiento entran en el ámbito de aplicación del RGPD, el deber de adoptar
todas las medidas necesarias en virtud del artículo 32 debe quedar reflejado en
el contrato en relación con las actividades de tratamiento confiadas al
encargado.
126. Tal como se ha indicado previamente, el contrato de tratamiento no debe
limitarse a reproducir las disposiciones del RGDP: debe incluir o hacer
referencia a información sobre las medidas de seguridad que se adoptarán, la
obligación del encargado de obtener la aprobación del responsable antes de
realizar cualquier cambio y una revisión periódica de las medidas de seguridad
a fin de garantizar su adecuación a los riesgos, que pueden variar con el
tiempo. El grado de detalle de la información sobre las medidas de seguridad
que debe incluirse en el contrato debe poder permitir al responsable evaluar la
adecuación de las medidas con arreglo al artículo 32, apartado 1, del RGPD.
Esta descripción también es necesaria para que el responsable pueda cumplir
con su deber de responsabilidad proactiva previsto en el artículo 5, apartado 2,
y en el artículo 24 del RGPD en relación con las medidas de seguridad
impuestas al encargado. Del artículo 28, apartado 3, letras f) y h), del RGPD,
puede inferirse la correspondiente obligación del encargado de asistir al
responsable y de poner a su disposición toda la información necesaria para
demostrar el cumplimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
32/43
127. El nivel de detalle de las instrucciones dadas por el responsable al
encargado acerca de las medidas que se aplicarán dependerá de las
circunstancias del caso. En algunos casos, el responsable puede proporcionar
una descripción clara y detallada de las medidas de seguridad que deben
aplicarse. En otros casos, el responsable puede describir los objetivos mínimos
de seguridad que deben alcanzarse y solicitar al encargado que proponga la
aplicación de medidas de seguridad concretas. En todo caso, el responsable
debe proporcionar al encargado una descripción de las actividades de
tratamiento y los objetivos de seguridad (en función de la evaluación del riesgo
del responsable), además de aprobar las medidas propuestas por el
encargado. Esto podría incluirse en un anexo al contrato. El responsable ejerce
su poder de decisión sobre los elementos esenciales de las medidas de
seguridad, bien indicando expresamente las medidas, bien aprobando las
medidas propuestas por el encargado”.
Por tanto, el citado artículo 32 del RGPD tiene como objetivo garantizar un nivel de
seguridad adecuado al riesgo, en relación con un tratamiento de datos personales,
teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el
alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y
gravedad variables para los derechos y libertades de las personas físicas. Así, el
responsable y el encargado del tratamiento (conforme a las instrucciones facilitadas
por el responsable) aplicarán medidas técnicas y organizativas apropiadas de
seguridad para garantizar dicho nivel de seguridad adecuado al riesgo.
No obstante, la obligación establecida en el artículo 32 del RGPD implica, con carácter
previo, contar con medidas tendentes a evitar una potencial brecha de datos
personales, pero, también ser capaz de identificarla a la mayor brevedad y abordarla
adoptando las medidas necesarias para paliar sus efectos o poner fin a los mismos.
Así las cosas, el considerando 87 del RGPD deja entrever la obligación de contar con
medidas preventivas y detectoras que eviten potenciales brechas de datos personales
y que, en caso de que estas llegaran a producirse, permitan su identificación y
posterior corrección a la mayor brevedad:
“87 Debe verificarse si se ha aplicado toda la protección tecnológica adecuada
y se han tomado las medidas organizativas oportunas para determinar de
inmediato si se ha producido una violación de la seguridad de los datos (…)”
En la misma línea se pronuncian las Directrices 9/2022, sobre la notificación de las
violaciones de la seguridad de los datos personales en el marco del RGPD adoptadas
por el Comité Europeo de Protección de Datos (CEPD), cuando hacer referencia a la
necesidad de contar con medidas que permitan detectar y subsanar una potencial
brecha de datos personales:
“37. Por tanto, el responsable del tratamiento debe disponer de procesos
internos para poder detectar y subsanar una violación. Por ejemplo, para
encontrar algunas irregularidades en el tratamiento de los datos, el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
33/43
responsable o el encargado del tratamiento pueden utilizar ciertas medidas
técnicas, tales como analizadores de flujo de datos y de registro, a partir de los
cuales es posible definir eventos y alertas mediante la correlación de cualquier
dato de registro.
.
41. El artículo 32 del RGPD deja claro que el responsable y el encargado del
tratamiento deben disponer de las medidas técnicas y organizativas adecuadas
para garantizar un nivel adecuado de seguridad de los datos personales: la
capacidad para detectar, abordar y notificar una violación en tiempo oportuno
debe considerarse un elemento esencial de estas medidas”.
En el presente supuesto, el objeto del contrato entre ING y DYNAMIC consistía en la
recogida de documentación de clientes o potenciales clientes relativa a una nueva alta
como interviniente en una cuenta, a una nueva alta como cliente o para lo relativo a la
concesión de un préstamo premium, de acuerdo con la información contenida en el
Anexo V del contrato. Por tanto, la documentación que solía remitirse a ING a través
del servicio de mensajería, además de exigir una copia completa del DNI, contenía
una pluralidad de datos personales. Así, en el caso de la parte reclamante, que remitió
la documentación exigida a efectos de la tramitación de una nueva alta como
interviniente en una cuenta, los datos personales incluidos en la documentación
extraviada fueron: nombre, apellidos, número de DNI, fecha de nacimiento, país de
nacimiento, nacionalidad, país de residencia fiscal, dirección de correo electrónico,
número de teléfono móvil, datos de actividad laboral, domicilio y rúbrica.
Entre las medidas de seguridad mínimas exigidas por ING a DYNAMIC en el ANEXO
IV del contrato, reproducidas en el antecedente de hecho segundo, no figura ninguna
medida de seguridad relativa a garantizar la trazabilidad de los envíos de
documentación para conocer en todo momento la ubicación precisa del mismo. Es
más, todas las medidas se encuentran destinadas a asegurar la disponibilidad de los
datos en los sistemas de información o garantizar la seguridad física de los paquetes.
A este respecto, tal como se ha indicado previamente, al responsable le corresponde
verificar que las medidas implementadas por el encargado siguiendo sus instrucciones
funcionan, aun cuando ING asegure que los protocolos y procedimientos definidos por
la red de mensajería son “responsabilidad exclusiva” de dichas empresas y aun
cuando en el contrato entre el encargado y el responsable se recoja de manera
genérica la obligación del encargado del tratamiento de “(…)”.
No en vano y vinculado a lo anterior, conviene remarcar que el artículo 24 del RGPD,
al hablar de la responsabilidad del responsable del tratamiento, señala que “teniendo
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los
riesgos de diversa probabilidad y gravedad para los derechos y libertades de las
personas físicas, el responsable del tratamiento aplicará medidas técnicas y
organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es
conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán
cuando sea necesario”.
Además, estrechamente ligado a la ausencia de medidas de trazabilidad de los envíos
de documentación, resulta llamativo que ING desconociera la identidad de los
encargados o empresas de transporte con las que trabajaba en esas fechas en función
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
34/43
de la localidad o zona de recogida, por ejemplo, y que y careciera de la información
precisa -que permitiera la trazabilidad del envío desde el origen hasta el destino- sobre
la empresa encargada de realizar una determinada recogida, en caso de existir varias
opciones. Es decir, cuando el 6 de febrero de 2023 la parte reclamante alerta a ING
sobre el posible extravío de su documentación y le facilita, de acuerdo con lo que
figura en el parte de incidencias, el nombre de la compañía que realizó la recogida, el
número de seguimiento del envío o, incluso, el nombre del mensajero, la reacción de
ING consiste en verificar con la empresa encargada de la gestión de la documentación
recibida si esta ha llegado. Tras recibir respuesta negativa y tras sucesivas llamadas
de la parte reclamante, no es hasta el día 13 de febrero que ING se pone en contacto
con la empresa de transporte para reclamar la documentación. No obstante, es con la
empresa ***EMPRESA.1 con la que contacta por ser “la más habitual”, en lugar de con
la empresa DYNAMIC, encargada de realizar la recogida en este caso concreto.
A 16 de mayo de 2023, ING persiste en su confusión, tal y como demuestra la
comunicación remitida a la parte reclamante en esa fecha en el marco del expediente
generado a raíz de la reclamación ante la OMIC del ***AYUNTAMIENTO.1 en la que le
comunica que se ha vuelto a requerir información a ***EMPRESA.1. Por tanto, la
solicitud de información a DYNAMIC en tanto que encargado de la recogida de la
documentación extraviada no se produce hasta el 1 de septiembre de 2023, cuando la
relación contractual entre ambas había llegado a su fin el 28 de febrero de 2023.
De la misma manera, de la documentación obrante en el expediente, se pone de
manifiesto que ING carecía de medidas de alerta temprana que le permitieran la
identificación y rápida detección de una brecha de datos personales. Puesto que, si
bien asegura que su encargado debía haberle hecho la entrega en 24 horas desde la
recogida, cuando esta no se produjo, ING no realizó ninguna actuación puesto que no
tenía constancia del retraso. Asimismo, tampoco reaccionó cuando el 2 de febrero el
afectado le alertó sobre lo ocurrido, a pesar de que se habría superado el plazo de 24
horas de entrega desde la recogida que asevera ING. Al contrario, no realizó la
apertura de una incidencia hasta 4 días más tarde, ante una nueva llamada de este.
Además, en los comentarios internos de ING de cara a la resolución de la incidencia,
tanto en los días 9 y 16 de febrero ya se señala que la solución es solicitar al cliente
que remita de nuevo la documentación, lo que pone en evidencia que no realizó
mayores actuaciones de cara a determinar qué había ocurrido y por qué, así como la
inexistencia de un protocolo de actuación en estos supuestos.
Lo anterior pone de manifiesto que ING carecía, al menos durante toda la vigencia del
contrato con DYNAMIC, de una adopción e implementación efectiva de medidas
técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al
riesgo, que tuvieran por objeto garantizar el control de las entregas postales,
estableciendo un sistema viable de comprobación de la trazabilidad de la
documentación enviada, así como, estrechamente relacionado con lo anterior, un
sistema de seguimiento de reclamaciones que permitieran realizar una rápida
detección de brechas de datos personales. Igualmente, tampoco contaba con medidas
como, por ejemplo, mediciones, inspecciones periódicas en la red de reparto,
auditorías internas, circulación de envíos test o la implantación de panelistas internos o
externos a efectos de determinar la ubicación de la documentación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
35/43
En definitiva, a raíz del extravío de la documentación remitida por la parte reclamante
a través de los canales oficialmente establecidos por el responsable del tratamiento y
con independencia de esa brecha de disponibilidad de datos personales, se ha puesto
de manifiesto la ausencia de medidas de seguridad suficientes en los términos
determinados por el artículo 32 del RGPD durante la vigencia del contrato entre el
responsable del tratamiento y su encargado, en concreto, medidas de trazabilidad de
los envíos de documentación, así como de alerta temprana de incidentes y potenciales
brechas de datos personales.
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
procesal, se considera que los hechos conocidos son constitutivos de una infracción,
imputable a ING, por vulneración del artículo 32 del RGPD anteriormente transcrito.
VI
Tipificación de la infracción del artículo 32 del RGPD y calificación a efectos de
prescripción
El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración del
artículo siguiente, se sancionará, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25
a 39, 42 y 43;"
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:
"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten
apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento,
en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679."
VII
Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
36/43
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
37/43
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las
multas bajo el RGPD, que la cuantía de la multa debe tener como punto de partida,
tres elementos: el volumen de negocios, la categorización de las infracciones según su
propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y
el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo
83.2 a), b) y g)). En cualquier caso, la multa a imponer debe ser, en cada caso
individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD. En cualquier caso, la multa debe ser, en cada caso individual,
efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del
RGPD.
En este sentido, se considera, con carácter previo, el volumen de negocio de ING
España y Portugal de 1.091.000.000 euros en el año 2023.
Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.4 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser
de 10.000.000 de euros como máximo, o tratándose de una empresa, una cuantía
equivalente al 2% como máximo del volumen de negocio anual, optándose por la de
mayor cuantía. El 2% del volumen de negocio de ING es de 21.820.000 euros.
Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre
los 0 y los 21.820.000 euros.
Asimismo, en relación con el nivel de gravedad en los términos del RGPD, se estima
que concurren las circunstancias siguientes:
- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (artículo 83.2, letra a), del RGPD: sin perjuicio de que el
procedimiento sancionador se tramite a raíz de una reclamación, los hechos
conocidos ponen de manifiesto una ausencia de medidas de seguridad que afecta
a la totalidad de sus clientes que hicieran uso de los sistemas de mensajería de su
encargado facilitados por ING durante el periodo de vigencia de su contrato con
DYNAMIC, ya fuera para la remisión de documentación relativa a una nueva alta
como interviniente en una cuenta, la correspondiente a una nueva alta como
cliente o para lo relativo a la concesión de un préstamo premium, de acuerdo con
la información contenida en el Anexo V del contrato. Asimismo, se resalta que la
documentación que suele remitirse a través de los servicios de mensajería,
además de exigir una copia completa del DNI, contiene una pluralidad de datos
personales. Así, en el caso de la parte reclamante los datos afectados fueron:
nombre, apellidos, número de DNI, fecha de nacimiento, país de nacimiento,
nacionalidad, país de residencia fiscal, dirección de correo electrónico, número de
teléfono móvil, datos de actividad laboral, domicilio y rúbrica.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
38/43
Se destaca que ING aumentó en 256.000 su número de clientes en 2022 y en
330.000 clientes en 2023.
Además, se señala que la duración del contrato abarcó desde el 1 de septiembre
de 2022 hasta el 28 de febrero de 2023, no superando los 6 meses.
- Intencionalidad o negligencia graves en la infracción (artículo 83.2, letra b), del
RGPD): Se aprecia negligencia, en la medida en que, de la cronología de las
actuaciones llevadas a cabo por parte de ING desde que fue alertada por la parte
reclamante de la posible infracción, se pone de manifiesto una ausencia del
control debido del responsable respecto a sus encargados, incluyendo la identidad
de estos. Así, ING no contactó con DYNAMIC hasta el 1 de septiembre de 2023
aun cuando disponía de toda la información referente a la recogida de la
documentación desde febrero de 2023, por haber sido esta proporcionada por la
parte reclamante.
- Las categorías de los datos de carácter personal afectados por la infracción
(artículo 83.2, letra g), del RGPD): las Directrices 04/2022 del Comité Europeo de
Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24
de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito
de tener en cuenta las categorías de los datos personales afectados: “(…)el
RGPD destaca claramente los tipos de datos que merecen una protección
especial y, por tanto, una respuesta más estricta en lo que respecta a las multas.
Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9
y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya
difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos
de localización, datos sobre comunicación privada, números de identificación
nacionales o datos financieros, como resúmenes de transacciones o números de
tarjetas de crédito”). En el presente caso, la documentación objeto de transporte,
dirigida a una entidad bancaria y que, en este caso concreto ha sido extraviada,
incluye tanto el número del DNI, como una copia completa del mismo, asimismo,
en el interior del sobre extraviado figura el número de cuenta bancaria, entre otros
datos. El tratamiento de estos datos supone un riesgo para la privacidad del
afectado, debido a que, de producirse un acceso por un tercero ajeno al conjunto
de datos que contiene el DNI y a la propia imagen de este documento, junto con la
documentación bancaria, puede dar lugar a su utilización para la realización de
fraude mediante la suplantación de identidad del interesado.
Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2, letra b), de la LOPDGDD): ING, como
consecuencia de su actividad empresarial realiza de forma habitual y continua
tratamientos de datos de carácter personal de un elevado número de interesados,
no solo en lo relativo a la remisión (y posterior recepción por parte de ING) de
documentación por parte de clientes o potenciales clientes a través de empresas
de transporte en los términos establecidos por la propia empresa. En definitiva, la
realización de actividades financieras, que es la actividad principal de ING, implica
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
39/43
forzosamente operaciones de tratamiento de datos personales de las personas
físicas clientes (o potenciales clientes) de dicha entidad, no únicamente respecto a
la documentación remitida por estos por los canales establecidos por la
responsable sino para todo tipo de actividades. Así, la infracción se produce en el
marco de un tratamiento de datos personales que habitualmente realiza el
responsable en su negocio y que se encuentra estrechamente vinculado a este.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento procesal
se considera que el balance de las circunstancias contempladas en el artículo 83.2 del
RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo
establecido en el artículo 32 del RGPD, permite proponer una sanción de multa
administrativa de 500.000,00 euros.
VIII
Medidas correctivas
Una vez confirmada la infracción, la resolución que se dicte podrá establecer las
medidas correctivas que la entidad infractora deberá adoptar para poner fin al
incumplimiento de la legislación de protección de datos personales, en este caso del
artículo 32 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.d) del
RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o
encargado del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del presente Reglamento, cuando proceda, de una determinada manera
y dentro de un plazo especificado…”
Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.
No obstante, en el presente caso se subraya que la infracción se produce en el marco
de un contrato de encargo entre ING y DYNAMIC que finalizó el 28 de febrero de
2023, por lo que se estima que no procede la imposición de medidas.
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
- Que por la Presidencia de la Agencia Española de Protección de Datos se
sancione a ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G, por
una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD,
con una multa de 500.000 euros (quinientos mil euros).
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 400.000 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
40/43
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
A estos efectos, en caso de acogerse a esta reducción, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
926-050325
R.R.R.
INSTRUCTOR
ANEXO
(…)
>>
SEGUNDO: En fecha 22 de agosto de 2025, ING ha procedido al pago de la sanción
en la cuantía de 400.000,00 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.
FUNDAMENTOS DE DERECHO
I
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
41/43
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
III
Pago voluntario
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 400.000,00 euros y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
42/43
su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes.
Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, ING, en fecha 22 de agosto de 2025, procedió a realizar el pago
voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del
artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.
La suma de las citadas cuantías arroja una cantidad total de 500.000,00 euros.
Tras haber procedido ING BANK N.V., SUCURSAL EN ESPAÑA al pago voluntario,
aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de
la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad
definitiva de 400.000,00 euros.
La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202500113, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: NOTIFICAR la presente resolución a ING BANK N.V., SUCURSAL EN
ESPAÑA.
CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona
la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o
recurso en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución haya sido
notificada a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
43/43
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
968-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es