1/12
Expediente Nº: PS/00261/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 9 de febrero de
2021 interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra Mederos Moviten, S.L. con NIF B38490983 (en
adelante, la parte reclamada).
Los motivos en que basa la reclamación son que el día 14 de octubre de 2020 contrató
mediante portabilidad un paquete de fibra, teléfono fijo y móvil, en el punto de venta de
la parte reclamada.
Por otra parte, le ofrecieron un dispositivo llamado Vodafone Kit V-Home,
manifestándole que era gratis.
Así las cosas, en enero del año 2021, la operadora Vodafone le cobra el citado Kit y
puesto en contacto con la operadora, le manifiestan que había varios contratos de
financiación del citado producto, pero le indican que debe solucionarlo en el punto de
venta donde realizo la portabilidad y le remiten por correo electrónico copia de los
contratos sin firmar.
Pues bien, dichos contratos son de fechas 17 y 29 de octubre, 4 de noviembre y 22 de
diciembre del año 2020, con los datos de la parte reclamante y número de cuenta
bancaria, en los cuales se contratan diferentes servicios que la parte reclamante no ha
contratado ni firmado en ningún momento. Así mismo en uno de los contratos
aparecen los datos de una persona que no conoce de nada.
La parte reclamante manifiesta que no ha realizado ninguna financiación, solo el
primer contrato de portabilidad, de fecha 14 de octubre de 2020, no teniendo
conocimiento ni habiendo firmado los contratos anteriormente mencionados, no
reconociendo la firma que aparece en el contrato que le muestra la dependienta en el
punto de venta y que desconoce han utilizado sus datos personales para realizar
nuevas altas telefónicas o de servicios de Vodafone, así como que no ha dado su
consentimiento para realizar estas prácticas con sus datos personales ni bancarios.
Y, aporta la siguiente documentación:
- Denuncia presentada el 1 de febrero de 2021 en la Comisaría de Policía de Telde
(Las Palmas).
- Hoja de reclamación del 28 de enero de 2021 sellada por la entidad reclamada y
dirigida a la OMIC de su municipio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para
que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
TERCERO: Con fecha 26 de mayo de 2021 la Directora de la Agencia Española de
Protección de Datos acordó admitir a trámite la reclamación presentada por la parte
reclamante.
CUARTO: Con fecha 30 de julio de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD.
QUINTO: Notificado el citado acuerdo de inicio, D. B.B.B., en nombre y representación
de la compañía mercantil MEDEROS MOVITEN, S.L. solicitó ampliación del plazo y
copia del expediente, siéndole concedido.
Con fecha 27 de septiembre de 2021, presentó escrito de alegaciones en el que, en
síntesis, manifestaba que los únicos contratos suscritos entre el reclamante y
Vodafone Servicios S.L.U. (en adelante Vodafone) con la intervención de la parte
reclamada como distribuidor autorizado de los productos y servicios que comercializa
dicha operadora de telecomunicaciones, son los otorgados en fecha 14 de octubre de
2020 que adjuntan como documentos números 3 y 4, de modo que esos otros
contratos de fechas posteriores a los que se alude en el acuerdo de incoación, si
realmente existen, habrán sido formalizados a través de otro distribuidor o a través de
otro canal de comercialización.
Por otra parte, la parte reclamada propone se practique, entre otras, las siguientes
pruebas: requerir a Vodafone que identifique al autor de los contratos de fechas
17/10/2020, 29/10/2020, 22/12/2020 y 4/11/2020, y pruebas testificales a doña C.C.C.
y doña D.D.D., empleadas de Mederos Moviten, S.L.
SEXTO: Con fecha 28 de septiembre de 2021, el instructor del procedimiento acordó
la apertura de un período de práctica de pruebas, teniéndose por incorporadas las
actuaciones previas de investigación, E/02266/2021, así como los documentos
aportados por la parte reclamada.
SÉPTIMO: Con fecha 28 de septiembre de 2021, el instructor del procedimiento
PS/00261/2021, requirió a Vodafone que aportará copia de los contratos suscritos por
D. A.A.A., de fechas 17/10/2020, 29/10/2020, 4/11/2020 y 22/12/2020 y a su vez
requirió a D. A.A.A., que aportara los citados contratos.
Con fecha 5 de octubre de 2021 se remitió a la parte reclamada, los contratos
aportados por D. A.A.A., a esta Agencia, de las fechas citadas anteriormente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
Con fecha 18 de octubre de 2021, Vodafone manifiesta que se adjuntan como
documento número 2, 3, 4 y 5 los contratos solicitados por la Agencia y suscritos entre
la parte reclamante y Vodafone.
Vodafone aporta el informe del Departamento de Sistemas de Vodafone, en el mismo,
consta la orden de trabajo nº 318089008 en relación con el contrato 17/10/2020.
Orden de trabajo nº 320771220 en relación al contrato 29/10/2020 que la realiza el
distribuidor Mederos Moviten-Telde. Orden de trabajo nº 321768889 en relación al
contrato 04/11/2020. Orden de trabajo nº 332358071 en relación al contrato
22/12/2020, esta orden se genera a través del distribuidor Mederos.
Por otra parte, expone que como consecuencia del presente requerimiento, Vodafone
se puso en contacto con el distribuidos Mederos Moviten S.L., con el cual Vodafone
tiene un contrato firmado (adjuntan como documento número 6 contrato entre las
partes) y el distribuidor informó a Vodafone que, tanto el contrato de fecha 22/12/2020,
como el contrato de fecha 29/10/2020, fueron gestionados en la tienda del distribuidor.
OCTAVO: El 27 de octubre de 2021 D. B.B.B., en nombre y representación de la
compañía mercantil Mederos Moviten, S.L. presentó recurso de alzada contra el
acuerdo de denegación de prueba del procedimiento PS/00261/2021.
NOVENO: Con fecha 24 de noviembre de 2021, la Directora de la Agencia Española
de Protección de Datos acordó desestimar el recurso de alzada formulado D. B.B.B.,
en nombre y representación de la compañía mercantil Mederos Moviten, S.L. contra el
acto impugnado, de fecha 28 de septiembre de 2021, dictado en el presente
procedimiento sancionador.
DÉCIMO: Con fecha 10 de enero de 2022 se formuló y se notificó la propuesta de
resolución, proponiendo que por la Directora de la Agencia Española de Protección de
Datos se sancione a Mederos Moviten, S.L. con NIF B38490983, por una infracción del
Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.a) del RGPD, una multa de
15.000,00 € (quince mil euros).
UNDÉCIMO: El 11 de enero de 2022, la parte reclamada solicitó la remisión de la copia
de las actuaciones a las que se refería la propuesta de resolución, y el día 13 del mismo
mes y año se le remitió dicha documentación.
La parte reclamada presentó alegaciones a la Propuesta de Resolución manifestando,
lo que estima oportuno en defensa de sus intereses, en síntesis, que aportan como
documentos números 1 y 2 los testimonios de doña C.C.C. y doña D.D.D., empleadas
de Mederos Moviten, S.L.
Por otra parte, solicita la revisión de los hechos probados y manifiesta “que lo que
realizó el distribuidor los días 29 de octubre y 22 de diciembre de 2020 fueron labores
de activación y ajuste en el precio de los servicios contratados por el reclamante el día
14 de octubre anterior, pero los documentos emitidos con esas fechas que Vodafone
remitió posteriormente al cliente no los generó mi representada, que ni siquiera tenía
conocimiento de su existencia, sino que lo hizo automáticamente el sistema
informático de la entidad operadora.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
En el caso que nos ocupa, los documentos emitidos en fechas 17 y 29 de octubre, 4
de noviembre y 22 de diciembre de 2020 han sido generados automáticamente por el
sistema informático de Vodafone como consecuencia de la activación y la realización
de diversos ajustes en el contenido de los productos y servicios que fueron objeto de
los dos contratos suscritos entre dicha entidad operadora y el reclamante con fecha 14
de octubre de 2020, con la mediación de mi representada como distribuidor autorizado
de los productos que aquella comercializa.
Por tanto, es evidente que el tratamiento de los datos personales del reclamante
resultaba necesario para la ejecución de esos dos contratos, primero mediante el
volcado y activación de los servicios contratados en el sistema informático del
proveedor, y posteriormente también para ajustar la financiación del dispositivo de
vigilancia “VHOME” a la oferta comercial efectuada, todo lo cual encaja de lleno en el
supuesto de tratamiento lícito contemplado por el precepto supraestatal de referencia”.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
1º- Consta que el reclamante con fecha 14 de octubre de 2020 contrató mediante
portabilidad un paquete de fibra, teléfono fijo y móvil, en el punto de venta de la parte
reclamada.
2º- Se constata que existen otros cuatro contratos a nombre del reclamante de fechas
17 y 29 de octubre de 2020; 4 de noviembre y 22 de diciembre del año 2020, con sus
datos, en los cuales no consta la firma del reclamante.
3º- Consta que, en enero del año 2021, Vodafone le cobra la factura al reclamante con
incremento de X,XX€ y que en dicha factura aparece en el apartado otros pagos la
siguiente descripción: “1 cuota pago aplazado. Pendientes 23. Vodafone Kit V-Home,
pagos pendientes YY,YY euros financiado.”
4º- Vodafone le informa que el día 22 de diciembre del 2020 había contratado los
servicios del dispositivo Vodafone Kit V-Home.
5º- Que desde el servicio de atención al cliente le envían una serie de contratos de
fechas 17/10/2020; contrato de fecha 29/10/2020 con una venta a plazos por importe
de RRR,RR euros a pagar en 24 meses; contrato día 4/11/2020 con dos facturas por
un importe de SSS,SS euros cada una de ellas. Así mismo en uno de los contratos
aparecen los datos de una tercera persona que no conoce de nada y sin firmar, con
sus datos y número de cuenta bancaría, en los cuales se contratan diferentes servicios
que el reclamante no ha contratado ni firmado en ningún momento.
6º- Queda acreditado en los contratos aportados por Vodafone, celebrados entre el
reclamante y la reclamada, en los cuales no figura la firma de la parte reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
7º- Se constata en el informe del Departamento de Sistemas de Vodafone, que consta
la orden de trabajo nº 318089008 en relación con el contrato 17/10/2020. Orden de
trabajo nº 320771220 en relación al contrato 29/10/2020 que la realiza el distribuidor
Mederos Moviten-Telde. Orden de trabajo nº 321768889 en relación al contrato
04/11/2020. Orden de trabajo nº 332358071 en relación al contrato 22/12/2020, esta
orden se genera a través del distribuidor Mederos.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver
este procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
II
Se imputa a la parte reclamada la comisión de una infracción por vulneración del
artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
(…)”
La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones
consideradas muy graves” dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquél y, en particular, las
siguientes:
(…)
a) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE)2016/679.”
III
Examinada la documentación que obra en el expediente, se evidencia que la conducta
presuntamente infractora de la que se responsabiliza a la parte reclamada consistió,
en que realizó el tratamiento de los datos personales de la parte reclamante sin
legitimación para ello. Los datos personales de la parte reclamante fueron
incorporados a los sistemas de información de la compañía, sin que haya acreditado
que dispusiera de legitimación para la recogida y el tratamiento posterior de sus datos
personales.
En el supuesto examinado, de la normativa expuesta y de las manifestaciones
realizadas por la parte reclamada cabe inferir que ésta actúa como encargada del
tratamiento de Vodafone.
En el artículo 4.8, se define al encargado del tratamiento como la persona física o
jurídica, autoridad pública, servicio u otro organismo que trate datos personales por
cuenta del responsable del tratamiento.
Todo tratamiento de datos personales realizado por un encargado debe regirse por un
contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados
miembros celebrado entre el responsable y el encargado, tal como se estipula en el
artículo 28, apartado 3, del RGPD.
Sobre este particular, las Directrices 07/2020 sobre los conceptos de «responsable del
tratamiento» y «encargado del tratamiento» en el RGPD, adoptadas por el CEPD, el 7
de julio de 2021, detallan lo siguiente:
“Aunque los elementos previstos en el artículo 28 del Reglamento constituyen su
contenido esencial, el contrato debe servir para que el responsable y el encargado
aclaren, mediante instrucciones detalladas, cómo se aplicarán en la práctica dichos
elementos fundamentales. Por tanto, el contrato de tratamiento no debe limitarse a
reproducir las disposiciones del RGPD, sino que debe incluir una información más
específica y concreta sobre el modo en que se satisfarán los requisitos y el grado de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
seguridad que se precisará para el tratamiento de los datos personales objeto del
contrato de tratamiento. Lejos de ser un ejercicio meramente formal, la negociación y
estipulación de las condiciones del contrato sirven para especificar los detalles del
tratamiento.”
Añaden que “Por lo general, el contrato de tratamiento establece quién es la parte
determinante (el responsable del tratamiento) y quién, la parte que sigue las
instrucciones (el encargado del tratamiento)”. Ahora bien “Si una parte decide en la
práctica cómo y por qué se tratan los datos personales, dicha parte será el
responsable del tratamiento, aunque el contrato estipule que se trata del encargado”.
Para determinar la responsabilidad de la parte reclamada hay que tener en cuenta
que, si un encargado del tratamiento infringe el Reglamento al determinar los fines y
medios del tratamiento, será considerado responsable del tratamiento con respecto a
dicho tratamiento (artículo 28, apartado 10, del RGPD).
Sobre los «Los fines y medios» las citadas directrices recogen las siguientes
consideraciones:
“(…)
Los diccionarios definen la palabra fin como un «resultado anticipado que se persigue
o que guía la actuación prevista» y la palabra medio como la «manera en que se
obtiene un resultado o se alcanza un objetivo»
(…)
La determinación de los fines y los medios equivale a decidir, respectivamente, el
porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el
responsable del tratamiento es la parte que determina por qué tiene lugar el
tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo
(es decir, qué medios se emplearán para lograrlo). Una persona física o jurídica que
influye de este modo en el tratamiento de datos personales participa, por tanto, en la
determinación de los fines y los medios de dicho tratamiento de conformidad con la
definición prevista en el artículo 4, punto 7, del RGPD.
El responsable del tratamiento debe decidir tanto sobre el fin como sobre los medios
del tratamiento, tal como se describe más adelante. En consecuencia, no puede
limitarse a determinar el fin: también debe adoptar decisiones sobre los medios del
tratamiento. En cambio, la parte que actúe como encargado nunca puede determinar
el fin del tratamiento. En la práctica, si un responsable del tratamiento recurre a un
encargado para que lleve a cabo el tratamiento por cuenta de aquel, el encargado
normalmente podrá tomar ciertas decisiones propias sobre el modo de efectuarlo. El
CEPD reconoce que el encargado del tratamiento puede gozar de cierto margen de
maniobra para tomar algunas decisiones sobre el tratamiento. En este sentido, es
necesario aclarar qué grado de influencia en el «porqué» y en el «cómo» conlleva que
un ente se considere responsable del tratamiento y en qué medida puede el
encargado del tratamiento tomar decisiones propias.
(…)”
En este caso, teniendo en cuenta lo anteriormente expuesto, cabe concluir que el
mero hecho de utilizar medios técnicos del responsable no exime de responsabilidad
al encargado del tratamiento, a efectos de lo dispuesto en el artículo 28, apartado 10,
del RGPD. En este caso la parte reclamada no ha acreditado que actuara siguiendo
las instrucciones detalladas del responsable, por lo que cabe considerar que ha
actuado como responsable del tratamiento que se examina en este procedimiento,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
toda vez que ha decidido por sí misma tratar los datos personales de la parte
reclamante con la finalidad de que fuera dada de alta en los servicios prestados por
aquél. Asimismo, ha decidido el modo de tratarlos, determinando los medios
organizativos relacionados, al menos, con la legitimidad de dicho tratamiento, al no
existir constancia de que la contratación se haya realizado siguiendo las instrucciones
del responsable.
Pues bien, la parte reclamada alega que el reclamante solo formalizó un contrato de
portabilidad, de fecha 14 de octubre de 2020. No obstante, constan otros cuatro sin
firmar, de fechas 17 y 29 de octubre de 2020; 4 de noviembre y 22 de diciembre del
año 2020, con los datos de la parte reclamante y número de cuenta bancaria, en los
cuales se contratan diferentes servicios que la parte reclamante no ha contratado ni
firmado en ningún momento. Así mismo en uno de los contratos aparecen los datos de
una persona que no conoce de nada.
Por otra parte, Vodafone en la contestación a esta Agencia de fecha 18 de octubre de
2021, manifiesta que se puso en contacto con la parte reclamada y le informó que
tanto el contrato de fecha 22 de diciembre de 2020, como el contrato de fecha 29 de
octubre de 2020, fueron gestionados en la tienda de la parte reclamada. Dichos
contratos han sido aportados tanto por Vodafone, como por la parte reclamante. Sin
embargo, constan todos los datos del reclamante, pero no así su firma.
En este sentido, se constata en el informe del Departamento de Sistemas de
Vodafone,
que la orden de trabajo nº 320771220 en relación al contrato 29 de octubre de 2020 la
realiza la parte reclamada, y la orden de trabajo nº 332358071 en relación al contrato
de 22 de diciembre de 2020, esta orden se genera también a través de la parte
reclamada.
Existe evidencia, de que se realizó el contrato de portabilidad en la tienda física de la
parte reclamada y de que los otros cuatro contratos están sin firmas.
Así las cosas, las pretendidas declaraciones de doña C.C.C. y doña D.D.D.,
empleadas de Mederos Moviten, S.L., nada pueden aclarar en relación con esas
contrataciones y resultan no transcendentes.
En relación con la revisión de los hechos probados, las alegaciones deben ser
desestimadas, significándose que las argumentaciones presentadas no desvirtúan el
contenido esencial de la sanción que se declara cometida ni suponen causa de
justificación o exculpación suficiente.
De conformidad con las evidencias de las que se dispone, se estima que la conducta
de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser
constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento
2016/679.
En ese sentido el Considerando 40 del RGPD señala:
“(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados
con el consentimiento del interesado o sobre alguna otra base legítima establecida
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho
de la Unión o de los Estados miembros a que se refiera el presente Reglamento,
incluida la necesidad de cumplir la obligación legal aplicable al responsable del
tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o
con objeto de tomar medidas a instancia del interesado con anterioridad a la
conclusión de un contrato.”
IV
La determinación de la sanción que procede imponer en el presente caso exige
observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que,
respectivamente, disponen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirec-
tamente, a través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado
“Sanciones y medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda,
de las restantes medidas correctivas a las que se refiere el artículo 83.2 del
Reglamento (UE) 2016/679.”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa a imponer a la entidad reclamada como responsable de una infracción tipificada
en el artículo 83.5.a) del RGPD, se estiman concurrentes en el presente caso los
siguientes factores:
En calidad de agravantes:
- Que los hechos objeto de la reclamación son imputables a una falta de
diligencia de la parte reclamada (artículo 83.2.b, RGPD). En el presente caso existen
cuatro contratos a nombre del reclamante de fechas 17 y 29 de octubre de 2020; 4 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
noviembre y 22 de diciembre del año 2020, con sus datos, en los cuales no consta la
firma del reclamante.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 6 permite fijar
una sanción de 15.000 euros (quince mil euros), tipificada como “muy grave”, a efectos
de prescripción de la misma, en el artículo 72.1.b) de la LOPDGDD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a MEDEROS MOVITEN, S.L., con NIF B38490983, por una
infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa
de 15.000 euros (quince mil euros).
SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B., en nombre y
representación de la compañía mercantil MEDEROS MOVITEN, S.L.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es