1/11
Procedimiento Nº: PS/00287/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Dña. A.A.A. (en adelante, el reclamante) con fecha 22/04/2020 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra COMERCIO ONLINE LEVANTE, S.L. con NIF B12983292 (en adelante,
el reclamado). Los motivos en que basa la reclamación son que al intentar acceder a
su cuenta de usuaria en perfumespremium.es le aparecen los datos personales de
otra usuaria distinta.
Aporta impresión de pantalla en la que se ven los datos de otra cliente, con domicilio
en Castelldefels, Barcelona.
SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de
Inspección de Datos procedió a realizar las siguientes actuaciones:
El 04/06/2020, fue trasladada al reclamante la reclamación presentada para su análisis
y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le
requería para que en el plazo de un mes remitiera a la Agencia determinada
información:
- La decisión adoptada a propósito de esta reclamación.
- En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22
del RGPD, acreditación de la respuesta facilitada al reclamante.
- Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.
- Informe sobre las medidas adoptadas para evitar que se produzcan
incidencias similares, fechas de implantación y controles efectuados para
comprobar su eficacia.
- Cualquier otra que considere relevante.
No consta en la Agencia contestación al traslado de la reclamación.
TERCERO: El 06/09/2020, de conformidad con el artículo 65 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la
reclamación presentada por el reclamante contra el reclamado.
CUARTO: Con fecha 08/10/2020, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas
infracciones de los artículos 5.1.f) y 32.1 del RGPD, tipificadas en el artículo 83.5.a)
83.4.a) del RGPD.
QUINTO: Notificado el acuerdo de inicio, el reclamado al tiempo de la presente
resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo
señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/11
Administrativo Común de las Administraciones Públicas, que en su apartado f)
establece que en caso de no efectuar alegaciones en el plazo previsto sobre el
contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de
resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad
imputada, por lo que se procede a dictar Resolución.
SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: El 21/01/2020 tiene entrada en la AEPD escrito de la interesada en el que
manifiesta que la página web perfumespremium.es muestra los datos personales,
direcciones y facturación de otros usuarios cuando intento iniciar sesión con su propio
perfil.
SEGUNDO: La reclamante aporta impresión de pantalla de la citada página web en la
que se observan los datos de otra cliente, con domicilio en Castelldefels, Barcelona.
TERCERO: La reclamante aporta copia del e-mail enviado a perfumespremium.es
el 26/04/2020 en el que señala lo siguiente:
Para: info@ perfumespremium.com
Buenas noches, al intentar entrar en mi perfil para comprobar la tramitación de mi
pedido, me mete en el perfil de otros usuarios, mostrándome sus datos personales,
dirección de facturación e historial de pedidos. Necesito saber cómo va mi pedido y su
fecha de llegada ya que no puedo realizar un seguimiento del mismo.
Nº pedido: Pedido # 8000042803
CUARTO: Consta aportada política de privacidad del reclamado de conformidad con el
nuevo RGPD, aunque la reclamante señala que no hay forma de contactar con la
empresa ni a través del teléfono de contacto ni del correo electrónico que indican en
su página web.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas, en su artículo 64 “Acuerdo de iniciación en los
procedimientos de naturaleza sancionadora”, dispone:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/11
“1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con
traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados,
entendiendo en todo caso por tal al inculpado.
Asimismo, la incoación se comunicará al denunciante cuando las normas
reguladoras del procedimiento así lo prevean.
2. El acuerdo de iniciación deberá contener al menos:
a) Identificación de la persona o personas presuntamente responsables.
b) Los hechos que motivan la incoación del procedimiento, su posible
calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que
resulte de la instrucción.
c) Identificación del instructor y, en su caso, Secretario del procedimiento, con
expresa indicación del régimen de recusación de los mismos.
d) Órgano competente para la resolución del procedimiento y norma que le
atribuya tal competencia, indicando la posibilidad de que el presunto
responsable pueda reconocer voluntariamente su responsabilidad, con los
efectos previstos en el artículo 85.
e) Medidas de carácter provisional que se hayan acordado por el órgano
competente para iniciar el procedimiento sancionador, sin perjuicio de las que
se puedan adoptar durante el mismo de conformidad con el artículo 56.
f) Indicación del derecho a formular alegaciones y a la audiencia en el
procedimiento y de los plazos para su ejercicio, así como indicación de que, en
caso de no efectuar alegaciones en el plazo previsto sobre el contenido del
acuerdo de iniciación, éste podrá ser considerado propuesta de resolución
cuando contenga un pronunciamiento preciso acerca de la responsabilidad
imputada.
3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación
no existan elementos suficientes para la calificación inicial de los hechos que motivan
la incoación del procedimiento, la citada calificación podrá realizarse en una fase
posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a
los interesados”.
En aplicación del anterior precepto y teniendo en cuenta que no se han
formulado alegaciones al acuerdo de inicio, procede resolver el procedimiento iniciado.
III
El artículo 58 del RGPD, Poderes, señala:
“2. Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las
circunstancias de cada caso particular;
(…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/11
En primer lugar, el artículo 5 del RGPD establece los principios que han de
regir el tratamiento de los datos personales y menciona entre ellos el de “integridad y
confidencialidad”.
El citado artículo señala que:
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»)”.
(…)
El artículo 5, Deber de confidencialidad, de la nueva Ley Orgánica 3/2018, de 5
de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
(en lo sucesivo LOPDGDD), señala que:
“1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria
de los deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán
aun cuando hubiese finalizado la relación del obligado con el responsable o encargado
del tratamiento”.
IV
La documentación obrante en el expediente evidencia que el reclamado,
vulneró el artículo 5 del RGPD, principios relativos al tratamiento, en relación con el
artículo 5 de la LOPGDD, deber de confidencialidad, al permitir el acceso a la
reclamante a los datos personales de una tercera persona al acceder a su cuenta de
usuaria en perfumespremium.es donde figuran los datos personales de otra cliente.
Este deber de confidencialidad, con anterioridad deber de secreto, debe
entenderse que tiene como finalidad evitar que se realicen filtraciones de los datos no
consentidas por los titulares de los mismos.
Por tanto, ese deber de confidencialidad es una obligación que incumbe no
sólo al responsable y encargado del tratamiento sino a todo aquel que intervenga en
cualquier fase del tratamiento y complementaria del deber de secreto profesional.
V
El artículo 83.5 a) del RGPD, considera que la infracción de “los principios
básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor
de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/11
mencionado artículo 83 del citado RGPD, “con multas administrativas de 20.000.000€
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
Por otro lado, la LOPDGDD, a efectos de prescripción, en su artículo 72 indica:
“Infracciones consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
(…)”
VI
En segundo lugar, hay que señalar que la seguridad de los datos personales
viene regulado en los artículos 32, 33 y 34 del RGPD.
El artículo 32 del RGPD “Seguridad del tratamiento”, establece que:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.
2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente
en cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/11
4. El responsable y el encargado del tratamiento tomarán medidas para
garantizar que cualquier persona que actúe bajo la autoridad del responsable o del
encargado y tenga acceso a datos personales solo pueda tratar dichos datos
siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del
Derecho de la Unión o de los Estados miembros”.
La vulneración del artículo 32 del RGPD se encuentra tipificada en el artículo
83.4.a) del citado RGPD en los siguientes términos:
“4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43.
(…)”
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
Y en su artículo 73, a efectos de prescripción, califica de “Infracciones
consideradas graves”:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679
se consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
g) El quebrantamiento, como consecuencia de la falta de la debida diligencia,
de las medidas técnicas y organizativas que se hubiesen implantado conforme
a lo exigido por el artículo 32.1 del Reglamento (UE) 2016/679”.
(…)”
Los hechos puestos de manifiesto en la presente reclamación se materializan
en el acceso a los datos personales de una tercera persona usuaria cliente del
reclamado al acceder a su cuenta en perfumespremium.es infringiendo las medidas
técnicas y organizativas.
VII
El RGPD define las violaciones de seguridad de los datos personales como
“todas aquellas violaciones de la seguridad que ocasionen la destrucción, perdida o
alteración accidental o ilícita de datos personales trasmitidos, conservados o tratados
de otra forma, o la comunicación o acceso no autorizados a dichos datos”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/11
De la documentación obrante en el expediente se acredita que el reclamado ha
vulnerado el artículo 32 del RGPD, al producirse un incidente de seguridad en su
sistema permitiendo el acceso a datos personales de terceros, al acceder a su cuenta
el reclamante en perfumespremium.es, donde estaban alojados los datos de otro
cliente con quebrantamiento de las medidas de seguridad.
Hay que señalar que el RGPD en el citado precepto no establece un listado de
las medidas de seguridad que sean de aplicación de acuerdo con los datos que son
objeto de tratamiento, sino que establece que el responsable y el encargado del
tratamiento aplicarán medidas técnicas y organizativas que sean adecuadas al riesgo
que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de
aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de
probabilidad y gravedad para los derechos y libertades de las personas interesadas.
Asimismo, las medidas de seguridad deben resultar adecuadas y
proporcionadas al riesgo detectado, señalando que la determinación de las medidas
técnicas y organizativas deberá realizarse teniendo en cuenta: la seudonimización y el
cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y
resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un
incidente, proceso de verificación (que no auditoría), evaluación y valoración de la
eficacia de las medidas.
En todo caso, al evaluar la adecuación del nivel de seguridad se tendrán
particularmente en cuenta los riesgos que presente el tratamiento de datos, como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios
físicos, materiales o inmateriales.
En este mismo sentido el considerando 83 del RGPD señala que:
“(83) A fin de mantener la seguridad y evitar que el tratamiento infrinja lo
dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar
los riesgos inherentes al tratamiento y aplicar medidas para mitigarlos, como el
cifrado. Estas medidas deben garantizar un nivel de seguridad adecuado, incluida la
confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación
con respecto a los riesgos y la naturaleza de los datos personales que deban
protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben
tener en cuenta los riesgos que se derivan del tratamiento de los datos personales,
como la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales”.
En el presente caso, tal y como consta en los hechos y en el marco del
expediente de investigación E/03847/2020 la AEPD trasladó al reclamado el
04/06/2020, la reclamación presentada para su análisis solicitando la aportación de
información relacionada con la incidencia reclamada, sin que se haya recibido en este
organismo respuesta alguna.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/11
La responsabilidad del reclamado viene determinada por la incidencia de
seguridad puesta de manifiesto por el reclamante, ya que es responsable de tomar
decisiones destinadas a implementar de manera efectiva las medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo
para asegurar la confidencialidad de los datos, restaurando su disponibilidad e impedir
el acceso a los mismos en caso de incidente físico o técnico. Sin embargo, de la
documentación aportada se desprende que la entidad no solo ha incumplido esta
obligación, sino que además se desconoce la adopción de medidas al respecto, pesar
de haberle dado traslado de la reclamación presentada.
De conformidad con lo que antecede, se estima que el reclamado sería
también presuntamente responsable de la infracción del RGPD: la vulneración del
artículo 32, infracción tipificada en su artículo 83.4.a).
VIII
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/11
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76,
“Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la
sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a)
del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los
siguientes factores:
El alcance en un entorno local del tratamiento llevado a cabo por la entidad
reclamada.
Se desconoce el número de afectados aunque la reclamación solo procede de
una sola persona.
Se desconocen las medidas adoptadas por el reclamado para evitar que se
produzcan incidencias similares, puesto que ante el requerimiento informativo de la
Agencia no ha respondido al mismo, lo que a su vez incide en la ausencia de
cooperación con la autoridad de control con el fin de poner remedio a la infracción y
mitigar los posibles efectos adversos de la misma.
No se tiene constancia de que la entidad hubiera obrado dolosamente, aunque
la actuación revela una grave falta de diligencia.
La vinculación de la actividad del infractor con la realización de tratamientos de
datos de carácter personal.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/11
La entidad reclamada es una pequeña empresa.
- En segundo lugar, a efectos de fijar el importe de la sanción a imponer en el
presente caso por la infracción tipificada en el artículo 83.4.a) del RGPD, se estiman
concurrentes los siguientes factores:
El alcance en un entorno local del tratamiento llevado a cabo por la entidad
reclamada.
Se desconoce el número de afectados aunque la reclamación solo procede de
una sola persona.
Se desconocen las medidas adoptadas por el reclamado para evitar que se
produzcan incidencias similares, puesto que ante el requerimiento informativo de la
Agencia no ha respondido al mismo, lo que a su vez incide en la ausencia de
cooperación con la autoridad de control con el fin de poner remedio a la infracción y
mitigar los posibles efectos adversos de la misma.
No se tiene constancia de que la entidad hubiera obrado dolosamente, aunque
la actuación revela una grave falta de diligencia.
La vinculación de la actividad del infractor con la realización de tratamientos de
datos de carácter personal.
La entidad reclamada es una pequeña empresa.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a COMERCIO ONLINE LEVANTE, S.L., con NIF B12983292,
por una infracción del aartículo 5.1.f) del RGPD, tipificada en el artículo 83.5.a) del
RGPD, una sanción de 1.000 € (mil euros).
SEGUNDO: IMPONER a COMERCIO ONLINE LEVANTE, S.L., con NIF B12983292,
por una infracción del aartículo 32.1 del RGPD, tipificada en el artículo 83.4.a) del
RGPD, una sanción de 2.000 € (dos mil euros).
TERCERO: NOTIFICAR la presente resolución a COMERCIO ONLINE LEVANTE, S.L.
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/11
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es