1/5
Procedimiento Nº: PS/00244/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 28 de diciembre de 2020
interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra CYNGASA, S.L. con CIF B70537774 (en adelante, el
reclamado).
Los motivos en que basa la reclamación son que el reclamante al solicitar informe de
vida laboral ha tenido conocimiento de que si bien su relación de trabajo fue
inicialmente concertada con la empresa CYNGASA el día 04/08/2020, esta empresa
cursó su baja en la seguridad social sin su conocimiento el día 07/08/2020 y fue dado
de alta de nuevo el 10/08/2020 en la empresa CALDERERIA Y SOLDADURA DE
ESTRUCTURAS METALICAS, S,L', sin que hubiese dado consentimiento alguno el
reclamante a CYNGASA para la cesión de sus datos personales, a dicha empresa.
Junto a la reclamación aporta informe de vida laboral
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), con número de referencia E/01392/2021, se dio traslado de
dicha reclamación al reclamado el 26 de febrero de 2021, para que procediese a su
análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a
cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.
No se ha recibido respuesta a dicho requerimiento.
TERCERO: Con fecha 11 de mayo de 2021, la Directora de la Agencia Española de
Protección de Datos acordó admitir a trámite la reclamación presentada por el
reclamante.
CUARTO: Con fecha 14 de julio de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/5
HECHOS
PRIMERO: El reclamante al solicitar informe de vida laboral ha tenido conocimiento de
que la empresa reclamada cedió sus datos personales a una tercera empresa sin su
consentimiento.
SEGUNDO: Con fecha 25 de julio de 2021, se notifica al reclamado el acuerdo de
inicio de este procedimiento, convirtiéndose dicho acuerdo en propuesta de resolución
de conformidad con los artículos 64.2.f) y 85 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), al
no efectuar el reclamado alegaciones en el plazo indicado.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para
resolver este procedimiento.
II
La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, en su artículo 4.11 define el consentimiento del
interesado como “toda manifestación de voluntad libre, específica, informada e
inequívoca por la que el interesado acepta, ya sea mediante una declaración o una
clara acción afirmativa, el tratamiento de datos personales que le conciernen”.
En este sentido, el artículo 6.1 del RGPD, establece que “de conformidad con lo
dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por
consentimiento del afectado toda manifestación de voluntad libre, específica,
informada e inequívoca por la que este acepta, ya sea mediante una declaración o
una clara acción afirmativa, el tratamiento de datos personales que le conciernen”.
III
De conformidad con las evidencias de las que se dispone en el presente momento, se
considera que, los hechos denunciados, es decir, ceder los datos personales del
reclamante a la empresa de CALDERERIA Y SOLDADURA DE ESTRUCTURAS
METALICAS, S.L. sin el consentimiento previo del titular de dichos datos personales
suponen una infracción del artículo 6 del RGPD.
IV
El artículo 72.1 b) de la LOPDGDD señala que “en función de lo que establece el
artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán
a los tres años las infracciones que supongan una vulneración sustancial de los
artículos mencionados en aquel y en particular, las siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/5
c) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento en el artículo 6 del Reglamento (UE) 2016/679.”
V
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá
de todos los siguientes poderes correctivos indicados a continuación:
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
VI
Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente de la entidad
reclamada (artículo 83.2 b) al cederse los datos personales del reclamante a la
empresa de CALDERERIA Y SOLDADURA DE ESTRUCTURAS METALICAS,
S.L. sin el consentimiento previo del titular de dichos datos.
Además se encuentran afectados identificadores personales básicos, (art
83.2 g), como nombre y apellidos, su número de la seguridad social, vida laboral,
etcétera.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a CYNGASA, S.L., con CIF B70537774, por una infracción del
artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 5.000 euros
(cinco mil euros).
SEGUNDO: NOTIFICAR la presente resolución a CYNGASA, S.L.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/5
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley
58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y
el número de procedimiento que figura en el encabezamiento de este documento, en
la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el artículo 90.3 a) de la LPACAP,
se podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/5
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es