1/15
*
936-150719
Procedimiento Nº: PS/00291/2019
RESOLUCIÓN R/00559/2019 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
En el procedimiento sancionador PS/00291/2019, instruido por la Agencia
Española de Protección de Datos a JOKER PREMIUM INVEX, S.L., vista la denuncia
presentada por A.A.A., y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 4 de octubre de 2019, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a JOKER PREMIUM
INVEX, S.L. (en adelante, el reclamado), mediante el Acuerdo que se transcribe:
<<
Procedimiento Nº: PS/00291/2019
935-240719
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de
Datos y en base a los siguientes
HECHOS
PRIMERO: Con fecha 27 de diciembre de 2018 Don A.A.A., (en adelante, el
reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos,
(en adelante, AEPD), contra MEDISALUD/JOKER PREMIUM, en la que exponía que
desde su alta en el censo municipal de la población de ***POBLACIÓN.1 (Toledo)
recibe publicidad y ofertas comerciales con datos identificativos (población, nombre y
apellidos y dirección) que solo ha facilitado a la Administración Pública. Añadía que ha
cursado comunicaciones electrónicas a la presunta promotora de las comunicaciones
y al administrador de las bases de datos sin ningún resultado. La información de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/15
ambos se refiere a la obtención de datos de distintas fuentes públicas en las que no
constan sus datos personales ni identificación de los residentes que, sin embargo, si
aparecen en las comunicaciones que recibe.
El reclamante anexa copia de un envío publicitario en cuyo anverso figura
impreso el logotipo de MEDISALUD, los datos del remitente (GM- ***APARTADO DE
CORREOS Madrid) y los datos del destinatario, en este caso del reclamante,
conforme prueba que el nombre, apellidos y dirección postal del destinatario del
envío estudiado coinciden con los datos identificativos y el domicilio postal facilitados
por el reclamante al presentar la mencionada reclamación.
En el cuerpo del envío publicitario figura el siguiente texto:
“Te regalamos un patinete eléctrico sólo por asistir. MEDISALUD te invita a que
conozcas las últimas novedades diseñadas exclusivamente para que sigas cuidando
de ti y de los tuyos. Para ello, te obsequiamos sólo por tu presencia en nuestro evento,
con un regalo de cortesía. Si además acudes con tu cónyuge MEDIASALUD TE
REGALARÁ COMPLETAMENTE GRATIS, UN PATINETE ELÉCTRICO
Si eres viudo/a. ven acompañado/a de un familiar o un amigo/a mayor de 45
años y recibirás el mismo regalo, siempre y cuando acredites tu estado civil con
documentación válida. Y si conoces a un matrimonio o pareja amiga, mayor de 45
años, INVÍTALA a venir. También recibirá los mismos regalos que tú, siempre que no
repita invitación en esos días.
Confirma tu asistencia y la reserva de tu regalo.”
En el envío se señalaba el lugar de celebración del acto ***HOTEL.1, en
Aranjuez), fechas y horarios de celebración (días 10 y 11 de enero de 2019, por la
mañana y por la tarde). Se facilitaba el número de teléfono ***TELÉFONO.1 para
reservar en el horario comprendido entre las 9:15 a 20:00 horas.
Al pie del del folleto publicitario se informa: “El presente envío ha sido remitido
a direcciones postales que constan como huecos residenciales obtenidos a través de
la información pública ofrecida por el IN, las bibliotecas de calles de Correos y
procedimientos directos sin que en ningún caso conste la identidad de los residentes
en dichos domicilios. No obstante, si por cualquier motivo, no le agradan estas
comunicaciones, puede manifestarlo mediante escrito dirigido a JOKER PREMIUM
C/Maria de Molina nº54 planta 5ª 28006 Madrid. Recibida una petición en ese sentido,
no se volverán a remitir a la correspondiente dirección postal comunicaciones de esta
naturaleza.”
SEGUNDO: Con fecha 23 de enero de 2019, la Subdirección General de Inspección
de Datos trasladó a la entidad GRUPO MEDISALUD TV, S.L., (en adelante,
MEDISALUD) la citada reclamación para su análisis y comunicación al reclamante de
la decisión adoptada al respecto. Asimismo, se requería a dicha entidad para que en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/15
plazo de un mes remitiera a la AEPD la siguiente información: Copia de las
comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito
del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la
comunicación de esa decisión; Informe sobre las causas que han motivado la
incidencia que ha originado la reclamación; Informe sobre las medidas adoptadas
para evitar que se produzcan incidencias similares; Cualquier otra que considere
relevante.
En la misma fecha se comunicó al reclamante la recepción de la reclamación y
su traslado a MEDISALUD.
Con fecha 22 de febrero de 2019, se registra de entrada en esta Agencia
escrito de contestación de MEDISALUD manifestando que:
a) Han dado respuesta al reclamante haciendo constar que: MEDISALUD no
tiene ni ha tenido en sus bases de datos información alguna del reclamante .Que la
relación entre esa empresa y JOKER PREMIUM obedece a una relación de
prestación de servicios consistente en la realización por parte de JOKER PREMIUM
de campañas comerciales para la celebración de eventos presenciales en distintas
poblaciones españolas a los que acuden personas interesadas para la presentación y
venta de los productos que comercializa MEDISALUD. Que estas campañas
comerciales son producidas y dirigidas de forma totalmente autónoma por JOKER
PREMIUM, sin que MEDISALUD intervenga en ninguna fase de las mismas.
b) Adjuntan copia del “Contrato de Prestación de Servicios” suscrito, con fecha
2 de agosto de 2017, entre GRUPO MEDISALUD TV, S.L. (EL CLIENTE) y JOKER
PREMIUM INVEX, S.L. (EL PROVEEDOR).
En los apartados 1.1 y 1.2 de la estipulación primera y apartado 2.2 de la
estipulación segunda del citado Contrato consta:
“PRIMERA.- OBJETO:
1.1 El presente contrato tiene por objeto establecer el marco jurídico que
regulará la prestación por parte de PROVEEDOR a CLIENTE de los servicios de
publicidad y marketing necesarios para la venta de los productos del CLIENTE.
1.2 EL CLIENTE realizará dichas ventas a través de presentaciones
presenciales de sus productos en lugares previamente definidos y concertados por el
PROVEEDOR (Hoteles, Restaurantes, etc.).
A tal efecto, el PROVEEDOR se compromete a realizar las tareas de marketing
que sean necesarias para lograr que a dichos eventos acudan el mayor número
posible de potenciales clientes. Para ello, el PROVEEDOR diseñará cada una de las
campañas de marketing y publicidad que se vayan a llevar a cabo para la venta de los
productos del CLIENTE y preparará y ejecutará dichas campañas de captación de
asistente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/15
SEGUNDA.- OBLIGACIONES DE PROVEEDOR
(…)
2.2.- EL PROVEEDOR reconoce que es exigencia del CLIENTE que las
campañas de marketing se efectúen sin que, en ningún caso, sean utilizados o
tratados datos personales de personas físicas sujetos a la normativa de protección de
datos personales.”
c). Han remitido burofax a la empresa JOKER PREMIUM, cuya copia adjuntan,
solicitando un informe de las causas que han originado la reclamación.
TERCERO: A la vista de la información recibida de MEDISALUD, con fecha 28 de
febrero de 2019, de conformidad con artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (en
adelante LOPDGDD), y a los efectos previstos en su artículo 64.2 la Directora de la
AEPD acordó admitir a trámite la reseñada reclamación.
CUARTO: Con arreglo a lo previsto en el artículo 67 de la LOPDGD, y a fin de una
mejor determinación y esclarecimiento de los hechos expuestos en la reclamación,
desde la Subdirección General de Inspección de Datos de la AEPD se practicaron las
actuaciones de investigación cuyo resultado a continuación se expone:
Con fecha 17 de mayo de 2019 se registra de entrada en esta Agencia escrito
de contestación de JOKER PREMIUM INVEX, S.L., (en lo sucesivo, el reclamado), al
requerimiento de información que le fue efectuado con fecha 24 de abril de 2019,
posteriormente reiterado con fecha 28 de junio de 2019, indicando que:
- En la actualidad no constan en sus ficheros datos personales del reclamante. Dichos
datos fueron suprimidos después de que su cliente, MEDISALUD, les informase de
que habían recibido de la AEPD una reclamación que había sido formulada por el
reclamante por figurar su nombre y apellidos en un envío publicitario.
- Que la existencia de dicha información en el envío publicitario les ha sorprendido ya
que en su fichero no tienen datos personales, sino únicamente referencias
correspondientes a huecos residenciales, sin ningún tipo de información sobre la
identidad de las personas que residen en ellos.
- Tras realizar una investigación interna, la única conclusión es que se produjese algún
error y que por razones que desconocen existiera un registro con datos del
denunciante. No tenían constancia de que en sus sistemas informáticos figurase dicho
dato.
- El incidente fue subsanado eliminando de forma irreversible los datos objeto de la
reclamación. Adicionalmente, se ha efectuado un rastreo en profundidad buscando
otros posibles datos personales para asegurarse de que se ha tratado de una situación
puntual y de que no se vuelva a producir un hecho de esta naturaleza.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/15
El reclamado aporta carta dirigida a MEDISALUD exponiendo lo manifestado
anteriormente y asumiendo toda la responsabilidad por el incidente.
Posteriormente, con fecha 25 de julio de 2019, se registra de entrada en esta
Agencia escrito del administrador único del recamado, en representación de dicha
entidad, exponiendo lo que sigue:
- Se confirma que los datos personales del reclamante utilizados para enviar la
publicidad proceden de los ficheros de esa sociedad.
- Que compró algunas bases de datos para realizar actividades de marketing, figurando
los datos del denunciante en uno de esos ficheros.
- Normalmente imparte instrucciones a sus empleados para que en los envíos no se
incluyan las personas que no quieren recibir publicidad o bien utiliza datos que no
sean personales, pero, en este caso, asume que se ha cometido una ilegalidad y que
debió asegurarse de que los datos del denunciante eran legales antes de utilizarlos.
- Que no puede justificar que tuviese el consentimiento del interesado, por lo que
reconoce los hechos que se imputan y su responsabilidad por el envío de la
publicidad.
- Que no han tenido contacto con el reclamante ni consta haberle remitido otra
comunicación al margen de la publicidad estudiada.
- Que se asumen las correcciones que deban imponerse, solicitando que se tenga en
cuenta que se trata de un hecho puntual, que no ha habido voluntad de causar daño,
que los datos del reclamante se han eliminado, la reducida dimensión de la empresa y
la complicidad que supone para la misma el cumplimiento íntegro y completo de la
normativa de protección de datos.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del
Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las
Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (en adelante, RGPD) reconoce a cada autoridad de control
y según lo establecido en los artículos 47, 64.2 y 68.1 de la LOPDGDD, la Directora de
la Agencia Española de Protección de Datos es competente para iniciar este
procedimiento.
II
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/15
El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que:
“A efectos del presente Reglamento se entenderá por:
1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;”
“11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea mediante
una declaración o una clara acción afirmativa, el tratamiento de datos personales que
le conciernen”.
De conformidad con dichas definiciones, y a la vista de las actuaciones
practicadas, los hechos objeto de supuesta infracción se concretan en el tratamiento
por parte del reclamado de los datos personales del reclamante (nombre, apellidos y
domicilio postal) para remitirle, en el marco de una campaña publicitaria organizada
por el reclamado, un folleto con publicidad de otra empresa sin haber acreditado estar
legitimado para efectuar ese tratamiento con esa concreta finalidad.
III
El tratamiento descrito podría ser constitutivo de una infracción del artículo 6
del RGPD, “Licitud del tratamiento”, cuyo apartado 1.a) establece que:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/15
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para
uno o varios fines específicos;”
El artículo 7 del citado RGPD, bajo la rúbrica “Condiciones para el
consentimiento”, señala que:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el
responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus
datos personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración
escrita que también se refiera a otros asuntos, la solicitud de consentimiento se
presentará de tal forma que se distinga claramente de los demás asuntos, de forma
inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante
ninguna parte de la declaración que constituya infracción del presente Reglamento.
3. El interesado tendrá derecho a retirar su consentimiento en cualquier
momento. La retirada del consentimiento no afectará a la licitud del tratamiento
basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el
interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta
en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un
contrato, incluida la prestación de un servicio, se supedita al consentimiento al
tratamiento de datos personales que no son necesarios para la ejecución de dicho
contrato”.
Por su parte, el artículo 6 de la de la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y garantía de los derechos digitales, bajo la rúbrica
“Tratamiento basado en el consentimiento del afectado”, señala que:
“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE)
2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/15
libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento
del afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual”.
La supuesta infracción de la que se responsabiliza al reclamado se encuentra
tipificada en el artículo 83.5.a) del RGPD, que establece que “Las infracciones de las
disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4% como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La LOPDGDD en su artículo 71, bajo la rúbrica “Infracciones”, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos de prescripción, la LOPDGDD en su artículo 72.1.b) señala:
“Infracciones consideradas muy graves”:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
a) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/15
IV
De la documentación obrante en el expediente, y de las propias manifestaciones
del reclamado en su escrito de fecha 25 de julio de 2019, se evidencia que el
reclamado vulneró el artículo 6.1 del RGPD.
Consta en el expediente que el reclamado trató el nombre, apellidos y
domicilio postal (calle ***DIRECCIÓN.1) del reclamante para remitirle, en el marco de
una campaña publicitaria íntegramente desarrollada y gestionada por el reclamado,
un folleto postal que promocionaba la asistencia a un evento en el que iban a
publicitarse las últimas novedades diseñadas por MEDISALUD, a celebrar los días
10 y 11 de enero de 2019 en el lugar que se reseñaba en el folleto.
Por otra, el reclamado ha reconocido en el escrito citado no disponer de
legitimación para el tratamiento de los datos personales del reclamante.
De conformidad con las evidencias de las que se dispone en este momento, y
sin perjuicio de lo que resulte de la instrucción del procedimiento, se estima que la
conducta del reclamado podría vulnerar el artículo 6.1.a) del RGPD pudiendo ser
constitutiva de la infracción tipificada en el artículo 83.5.a) del citado Reglamento
2016/679, y calificada de muy grave, a efectos de prescripción, en el artículo 72.1.b)
de la LOPDGDD.
V
El artículo 58.2 del RGPD, bajo la rúbrica “Poderes”, establece que:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
“i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las circunstancias
de cada caso particular;”
Para determinar la multa administrativa que en este caso proceda imponer se
han de observar las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD,
preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2.Las multas administrativas se impondrán, en función de las circunstancias de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/15
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76,
“Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/15
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa que
procedería imponer en el presenta caso por la presunta infracción tipificada en el artículo
83.5 del RGPD que se atribuye al reclamado, en una valoración inicial, se estima que
concurren los siguientes factores:
En calidad de agravantes:
- Que los hechos objeto de la reclamación son imputables a una falta de diligencia
del reclamado al no comprobar si existía base legitimadora para tratar los datos
personales del reclamante en el marco de la campaña publicitaria en que se
utilizaron sus datos (artículo 83.2.b, RGPD).
-La estrecha vinculación de la actividad del reclamado con el tratamiento de datos
de carácter personal (artículo 83.2.k, RGPD en relación con 76.2.b, de la
LOPDGDD)
En calidad de atenuantes:
-Que sólo consta, a la vista de los elementos de juicio disponibles, como
afectado por la conducta infractora el reclamante (artículo 83.2.a)
-Las medidas que la reclamada adoptó para paliar los daños y perjuicios sufridos
por el reclamante (artículo 83.2.c). A este respecto se valora que con anterioridad
a la recepción del requerimiento de información de esta Agencia, y conocida la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/15
situación irregular a través de MEDISALUD, el reclamado procedió a eliminar los
datos del reclamante de sus ficheros, según figura en el escrito de fecha 7 de
marzo de 2019 que indica remitió a su cliente.
Por lo tanto, a tenor de lo anteriormente expuesto,
Por la Directora de la Agencia Española de Protección de Datos,
SE ACUERDA:
1. INICIAR PROCEDIMIENTO SANCIONADOR a JOKER PREMIUM INVEX,
S.L., con NIF B87743902, por la presunta infracción del artículo 6.1 del RGPD
tipificada en el artículo 83.5.a) del citado Reglamento (UE) 2016/679.
2. NOMBRAR como instructora a B.B.B. y, como secretario, a C.C.C., indicando
que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo
establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de
Régimen Jurídico del Sector Público (LRJSP).
3. INCORPORAR al expediente sancionador, a efectos de prueba, la reclamación
interpuesta por el reclamante y su documentación, los documentos obtenidos y
generados por la Subdirección General de Inspección de Datos como
consecuencia del traslado efectuado y durante las actuaciones previas de
investigación practicadas; así como el informe de actuaciones previas de
Inspección.
4. QUE, a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas, (en lo sucesivo, LPACAP) la sanción que pudiera corresponder sería
de 10.000 euros (Diez mil euros), sin perjuicio de lo que resulte de la
instrucción.
5. NOTIFICAR el presente acuerdo a JOKER PREMIUM INVEX, S.L., con NIF
B87743902, otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes.
En su escrito de alegaciones deberá facilitar su NIF y el número de
procedimiento que figura en el encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de la LPACAP.
De conformidad con lo dispuesto en el artículo 85.1 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/15
establecida en 8.000 euros, resolviéndose el procedimiento con la imposición de esta
sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de
conformidad con lo establecido en el artículo 85.2 de la LPACAP, lo que supondrá la
reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción
quedaría establecida en 8.000 euros y su pago implicará la terminación del
procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 6.000 euros.
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (8.000 euros o 6.000 euros), deberá hacerlo efectivo
mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 abierta a nombre de
la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa de reducción del importe a la que se
acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/15
>>
SEGUNDO: En fecha 29 de octubre de 2019, el reclamado ha procedido al pago de la
sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en
el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su
responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción
que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa
imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado
la improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario,
el órgano competente para resolver el procedimiento aplicará reducciones de, al
menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/15
entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de
iniciación del procedimiento y su efectividad estará condicionada al desistimiento o
renuncia de cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00291/2019, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a JOKER PREMIUM INVEX, S.L..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es