1/20
Procedimiento Nº: PS/00315/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: EXCEL HOTELS RESORT S.A. (en adelante, la reclamante) con fecha
12/07/2019 interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra SIGNALLIA MARKETING DISTRIBUTION, S.A., con
CIF A76539030 (en adelante, la reclamada). Los motivos en que basa la reclamación
son “la mala praxis de la reclamada, al extinguir un contrato de prestación de servicios
y negarnos el acceso a nuestros propios servidores, al acceso a nuestras claves,
además de negarse a devolvernos todos los datos de nuestra entidad ocasionando
graves daños a nuestros sistemas, nuestro personal, además de grandes daños
económicos al verse paralizados todos los sistemas de trabajo”.
Manifiesta que el 29/04/2019 envía un burofax a la reclamada solicitando el cambio de
servidores a las instalaciones de la empresa en virtud de un contrato de prestación de
servicios firmado en 1/07/2011 (adjunta copia del contrato).
En la copia del literal del burofax, documento 1, se indica: “Tal y como les hemos
puesto de manifiesto, es nuestra intención cambiar el lugar en el que se encuentran
almacenados los servidores de nuestra compañía de forma que pasen a estar
ubicados en nuestras oficinas centrales y se evite el acceso ilícito a la información que
consta alojada en los mismos. Si bien lo cierto es que a día de hoy vienen haciendo
caso omiso a nuestra solicitud, pretendiendo apropiarse indebidamente de nuestros
equipos informáticos y de la información que está alojada en los mismos, por ello
advertimos que en caso de que no procedan a poner a nuestra disposición los
servidores de la compañía en el plazo improrrogable de 5 días nos veremos en la
obligación de denunciar los hechos”. En entrega figura: “no entregado, dejado aviso”.
Un segundo intento consta “no entregado por sobrante-no retirado en oficina.”
Manifiesta que el ***FECHA.1, su empresa sufrió un intento de estafa al suplantar
alguien la cuenta de correo, dirección de email, de su asesor financiero, demandando
a través de una empresa colaboradora que ingresara una cantidad en una cuenta en
un Banco. Esta circunstancia se notificó a la reclamada por ser la encargada del
tratamiento de los sistemas informáticos y los que tenían acceso a los servidores de su
empresa. Sobre este asunto, aporta copia de documento 2, de ***FECHA.1, escrito a
reclamada, en el que le informa y pide explicaciones de lo sucedido, añadiendo “Les
volvemos a reiterar que extinguido el contrato de prestación de servicios se
encuentran en la obligación de devolvernos los servidores y facilitarnos las claves de
acceso absteniéndose de acceder a nuestros servidores”. Se desconoce su entrega
efectiva.
Manifiesta en la reclamación, “desde este día y extinguido el contrato de prestación de
servicios firmado en su día (día de extinción del contrato ***FECHA.2) se le solicita a
esta entidad la obligación de devolvernos los servidores y facilitarnos las claves de ac-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/20
ceso a ellos”. Adjunta documento 3, escrito de la reclamada dirigido a la reclamante,
de ***FECHA.3, titulado “aviso de impago por la provisión del servicio contratado entre
las partes el 1/07/2011” y señala en inglés, que la reclamante le adeuda 409.724,50 €,
de lo que ya ha sido informada, y que si no se abona antes del 14/05/2019, “cesarán
en la provisión del servicio el ***FECHA.2, suspendiendo toda la actividad y operacio-
nes”. Expresa los continuos retrasos en el pago de las facturas emitidas por su compa-
ñía a la reclamada, informando que esta cantidad es acumulada desde enero 2017 por
los servicios prestados. Le indica que “después de una serie de demandas instadas a
la reclamada en los últimos meses, se ven obligados a reclamar la cantidad.
En documento 3-1, que se aporta, titulado “contestación a la carta de ***FECHA.3”, la
reclamante en escrito de ***FECHA.4, muestra su sorpresa por el hecho de que a ella
se le “adeuda una cantidad superior a 10 millones de euros”. Le informa que han inter-
puesto una demanda contra ellos y le indica que han incumplido la “obligación de po-
ner a disposición de la reclamante los servidores de su propiedad, cuestión que está
causando un grave perjuicio a la sociedad y se niegan a facilitar la contraseña de ad-
ministrador que nos permita operar con nuestros equipos informáticos cuestión que
supone un incumplimiento del citado contrato”.
También informa de que “recientemente hemos detectado que se ha producido una
suplantación de identidad de los trabajadores de la reclamante para ordenar a terceros
que se realicen pagos en cuentas corrientes que no son de titularidad de la entidad, lo
que constituye un grave intento de estafa.”
“A pesar de que les hemos solicitado las claves precisas para poder realizar una in-
vestigación de lo ocurrido hoy no nos han facilitado dichas claves de forma que poda-
mos acceder al sistema para realizar las correspondientes pesquisas. Por la presente
ejercitamos nuestra facultad de resolver el mencionado contrato por lo que a partir de
la fecha de recepción no se devengará cantidad alguna por la prestación de los indica-
dos servicios.”
“Le rogamos de instrucciones precisas a sus técnicos para que se abstengan de conti-
nuar prestando servicios informáticos y procedan a devolvernos el material informático
de nuestra propiedad que les fue entregado en el momento de la suscripción del con-
trato.” De este documento se desconoce su entrega efectiva, por no aportarse prueba
de recepción.
Declara en la reclamación que el 14/06/2019, la reclamante envió un burofax a la
reclamada informándole que la no entrega de sus servidores y claves ha supuesto un
grave perjuicio para ellos y que interpondrán denuncia ante la Agencia Española de
Protección de Datos. Aporta copia del escrito, sin acreditar muestra de su entrega.
Indica como perjuicios sufridos.
-Desde el viernes 7/06, la reclamante no tuvo acceso a los sistemas
relacionados con la contabilidad, sólo se quedó con la posesión de copia de algunos
datos del diario de cada empresa.
-El proveedor del programa informó a la reclamante que tardaría mínimo de
una semana en restablecer la instalación de los programas: Conta, gestión de pagos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/20
conciliación bancaria, activos fijos y traspasos contabilidad. Esto significó que al no
recuperarse los datos históricos se perdió la información en soporte digital para los
registros contables.
A corto plazo:
- imposibilidad de cumplir con obligaciones del sistema SII, se debían declarar
todas las facturas dentro de los 8 días naturales tras su emisión.
-Igualmente, para reducir el IGIC en la declaración mensual deberá informar
sobre todas las facturas recibidas, la fecha para efectuar la declaración de datos de
facturas deducibles en 15 de junio. Esto quiere decir que la reclamante tendrá que
pagar este mes más IGIC a la Agencia Tributaria canaria,
-Dificultades en elaborar borradores de cuentas a 31/05 que debían haber
cumplimentado.
-ATECRESA informó a la reclamante que tardaría hasta 6 meses en recuperar
la operatividad del sistema lo que implica que no se han podido valorar correctamente
inventarios y que se retrasase la contabilización de costo de F&B.
-No ha podido emitir los pagos certificados por lo que los pagos se han hecho
por transferencia o emitiendo un talón, lo que consume mucho tiempo.
-Problemas para acabar las auditorías de la reclamante.
-La reclamante no tenía ni tiene datos para presentar ante cualquier inspección
de Hacienda estatal o Canaria.
A largo plazo:
- retrasos en elaboración y presentación de impuestos sanciones y multas
asociadas
-Imposibilidad de llevar a cabo análisis de negocio para preparar proyecciones.
- falta de soporte digital para contabilización de amortización de activos fijos.
-Gastos adicionales relacionados con la reinstalación de aplicaciones trabajo
adicional de los técnicos
Junto a la reclamación, aporta:
-Copia de un contrato de arrendamiento de servicios del 1/07/2011, figurando de una
parte como cliente, SILVERPOINT HOTELS AND RESORTS SA, CIF A-38083101, y
como prestataria del servicio SILVER POINT VACATION SOLUTIONS SA, CIF A-
76539030, en el que se le encomienda la prestación de servicios de prevención, man-
tenimiento y asesoramiento de equipos informáticos en el entorno de las telecomunica-
ciones y la informática.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/20
-Copia del documento 4 de denuncia de la reclamante ante la Policía, fecha
23/05/2019, por intento de estafa a través de suplantación de identidad sufrido el
***FECHA.1, que finalmente no se consumó, al detectarse que se trataba de una ope-
ración fraudulenta.
Se indica en el punto 4 de la denuncia que se aporta informe de la empresa SIGNA-
LLIA, encargada de la administración y gestión de los sistemas informáticos de la em-
presa reclamante, en la que, entre otra información, declara que fue la cuenta del di-
rector financiero de la reclamante había sido objeto de ataque informático.
-Aporta copia documento 5 de denuncia de la reclamante ante la Policía, el 7/06/2019,
contra la reclamada por mala praxis profesional y estafa, sin más documentación que
revele los motivos.
- Aporta documento 6, de 13/06/2019, escrito de reclamada a reclamante titulado “car-
ta de contestación” “petición de datos en base a los derechos arco”. “Tras transcurrir el
plazo legal de 30 días establecido en la carta entregada- por la representante de la re-
clamante -en nuestras oficinas el pasado 14 de mayo del 2019 hemos accedido a faci-
litar los datos que nuestra compañía mantiene de EXCEL HOTELES Y RESORTS SA.”
“Dado el volumen de los mismos y por razones técnicas internas de Signallia dicha in-
formación se le pondrá a su disposición 10 días a contar desde el envío de la presente
carta”.
-Aporta documento 8, escrito de reclamada a la reclamante, de 20/06/2019, en el que
indica:
“Con el fin de proveer la información solicitada y cumplir con la normativa de Protec-
ción de Datos, nuestra compañía le informa que tenemos más de 5 terabytes de da-
tos… El equipo de seguridad informática nos comunica que la forma más segura de
tratar dichos datos es seguir los siguientes pasos…” adquiera un disco duro con una
capacidad mínima de memoria de 5 terabytes, que sea entregado en las oficinas indi-
cando que el tiempo de descarga serán dos días laborables, que se le facilitaría un
nombre y contraseña a la persona facultada y que una vez entregado el disco duro y
se confirme su lectura, la reclamada procedería a borrar dichos datos.
-Aporta documento 9, consistente en unos impresos de “informe de equipos de XL”
con el nombre de PC, fabricante, modelo, y sistema operativo y número de serie, fecha
bios, 8 hojas. También figura, documento 10, una relación de descripción de equipos
informáticos, figurando entre otros, servidores y año de compra y precios de compra,
elaborados por la reclamante y que se comunican internamente el 25/04/2019, con el
texto “Por favor intenta encontrar las facturas de los servidores más nuevos. Todos es-
tán activos en Central”.
-Aporta documento 12, copia de correo electrónico, 1/07/2019, de una empleada de la
reclamante con copia a dos empleadas, dirigido a gacacostaytorres.com, posiblemente
su asesoría o similar, indicando que han designado a dos personas para acudir a las
oficinas de la reclamada, para, con un disco duro, intentar recuperar los datos. Le ad-
junta una carta preparada para si viera que es preciso añadir algo. Le siguen correos
precedentes en fecha 28/06/2019, en el que la persona de gacacostaytorres.com, en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/20
el mismo asunto de “seguimiento entrega de datos por parte del SIGNALLIA a EXCEL”
referidos a la importancia de conseguir los datos y las trabas que ponen.
-Copia de un escrito de 1/07/2019 de la reclamante a la reclamada, indicando en refe-
rencia al burofax recibido el 20/06/2019, donde nos indicaban el procedimiento a se-
guir para tratar los datos de la manera más segura, “les hacemos entrega de un disco
duro” con él se indica cómo entregar la contraseña, de acuerdo con el email recibido el
27/06 enviado por A.A.A. (de la parte reclamada) donde nos amplían los requisitos.
“Para poder acceder a dichos datos, queremos dejar constancia que SIGNALLIA no
puede quedar exenta de responsabilidad una vez ha entregado los datos como uste-
des solicitan porque están en proceso algunos trámites abiertos sobre esta causa.”
-Copia de un correo electrónico de 1/07/2019 en el que una empleada de la reclaman-
te les informa a otras personas, entre ellas gacacostaytorres.com con copia para dos
personas de la reclamante: “te adjunto email con los datos acontecidos hoy en la ofici-
na designada cuando dos de nuestros empleados de EXCEL han ido con el disco duro
a recuperar nuestros datos. Agradecería que nos informes de cómo debemos proce-
der después de estos acontecimientos. Hemos redactado en el email abajo”. Le adjun-
ta la explicación dada a su vez por correo electrónico de las personas que fueron a lle-
var el disco duro, indicando “a las 12:30 nos hemos desplazado a las oficinas de SIG-
NALLIA con el fin de entregar el disco duro externo “Hemos expuesto nuestra inten-
ción de dejar el disco duro externo, y nos han informado que A.A.A., supuestamente
el máximo directivo ha salido de las oficinas y que ellos no tienen la autoridad para re-
cibir la entrega…”
-Copia de correo electrónico de la máxima responsable de la reclamante, a la reclama-
da de 1/07/2019 indicando “por favor puedes solucionar esto, nuestros empleados han
acudido otra vez a sus oficinas y no se les ha entregado lo que se solicitó mi equipo
tiene la autorización para recogerlo.”
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por la reclamante, con fecha 25/09/2019, se traslada a la
reclamada copia de la reclamación, indicándole que informe sobre la decisión que ha
adoptado sobre la reclamación, causas que han motivado la incidencia y medidas
adoptadas.
Según el certificado de correos, el envío se entregó el 21/10/2019 y no fue atendido el
requerimiento.
TERCERO: Con fecha 23/12/2019, se acuerda la admisión a trámite de la
reclamación.
CUARTO: Con fecha 30/01/20120, en fase de actuaciones previas de investigación
para el esclarecimiento de los hechos, se requiere información a la reclamada,
solicitando si se han devuelto los datos, y en caso negativo informar de las causas que
motivan que no se hayan devuelto, advirtiéndole de lo que establece la normativa
sobre protección de datos sobre la responsabilidad del encargado del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/20
El envío se remitió electrónicamente, resultando “rechazo automático” “fecha de pues-
ta a disposición 30/01/2020 fecha de rechazo automático 10/02/2020.”
El 18/02/2020 se requiere nuevamente a la reclamada, advirtiéndole de la obligación
de relacionarse telemáticamente con la administración. El envío que en esta ocasión
se cursa, excepcionalmente, con el fin de obtener la información, se realiza a través
del servicio de correos, a la dirección Avenida San Francisco, urbanización Oasis sur
3865, Los Cristianos, Arona, Santa Cruz de Tenerife (misma dirección en que anterior-
mente fue recogida) y resultó: “devuelto a origen por desconocido el 6/03/2020”.
Con fecha 31/03/2020, se remite nuevamente escrito a la reclamada,
***DIRECCIÓN.1, ***LOCALIDAD.1 (***PROVINCIA.1), dirección del Registro Mer-
cantil, dando resultado “Devuelto a Origen por Desconocido el 22/06/2020”.
QUINTO: Introduciendo los datos de la reclamada en GOOGLE, aparece que en el
BOE de 24/10/2020, se publica un edicto del Juzgado de lo Mercantil núm. 2 de
***PROVINCIA.1, en el que se indica la referencia de la reclamada, incursa en el pro-
cedimiento concursal núm. ***PROCEDIMIENTO.1, en el que se dictó auto de ***FE-
CHA.5, rectificado el 13/10/2020, declarando el concurso de la mercantil SIGNALLIA
MARKETING DISTRIBUTION S.A., CIF A76539030.
Se designa como administrador concursal B.B.B., indicándose su dirección.
Se indica que se ha acordado la apertura de la fase de liquidación.
SEXTO: A la reclamada, a fecha 5/10/2020, no le figura ninguna anotación de sanción
previa en la aplicación SIGRID que gestiona las reclamaciones de la AEPD.
SÉPTIMO: En la aplicación “monitoriza Business”, figura la reclamada, constituida el
3/03/2011, último ejercicio presentado 2017, tamaño PYME, actividades de agencias
de viajes ventas: 7.764.059 €.
OCTAVO: Con fecha 10/12/2020, la directora de la AEPD acordó:
“INICIAR PROCEDIMIENTO SANCIONADOR a SIGNALLIA MARKETING
DISTRIBUTION, S.A., con CIF A76539030, por la presunta infracción del artículo
28.3.g) del RGPD, de conformidad con el artículo 83.4.a) del RGPD.”
“A los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del
Procedimiento Administrativo Común de las Administraciones Públicas, (en lo
sucesivo, LPACAP) la sanción que pudiera corresponder sería de multa administrativa
de 100.000 euros, sin perjuicio de lo que resulte de la instrucción.”
“NOTIFICAR el presente acuerdo a SIGNALLIA MARKETING DISTRIBUTION,
S.A., con CIF A76539030, a través del administrador concursal, B.B.B.,”
La reclamada no efectuó alegaciones.
NOVENO: Con fecha 3/06/2021 se inicia período de práctica de prueba, acordando:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/20
Dar por reproducidos a la reclamación y su documentación, los documentos obtenidos
y generados por los Servicios de Inspección de la reclamada.
Como pruebas adicionales, se solicitó
1) A reclamante: ¿Cuál fue el acto legal por el que se varió la denominación del nom-
bre firmante, cliente, del contrato de arrendamiento de servicios de 2011, con la recla-
mada, ya que en la misma figura: SILVERPOINT HOTELS &RESORTS SA, luego en
posteriores escritos EXCEL HOTELS &RESORTS SA.
Con fecha11/06/2021 se recibió respuesta indicando que el 21/12/2010 se cambió la
denominación a SILVERPOINT, aportan documento 1, para variar a EXCEL HOTELS
el 8/02/2013, con copia de documento 2.
2) A reclamante, en su reclamación aportaron varios burofax y cartas dirigidas a la
reclamada, advirtiendo del fin de la relación por presunto incumplimiento. Se solicita
que aporten acreditación de recepción del envío y su contenido por parte de la recla-
mada de ese comunicado, y amplié las causas que motivaron para la resolución del
contrato, y si la otra parte ha impugnado en vía judicial algún punto del mismo.
Aporta copia de documento 3, escrito de 13/06/2019 de la reclamada dirigido a la re-
clamante (ya comentado en los antecedentes) explicando que tras transcurrir el plazo
de 30 días establecido en la carta entregada por la reclamante en sus oficinas el pasa-
do 14/05/2019 “hemos accedido a facilitarle los datos que nuestra compañía “mantie-
ne” de la reclamante, y “dado el volumen de los mismos y por razones técnicas inter-
nas” de la reclamada “dicha información se le pondrá a su disposición 10 días a contar
desde el envío de la presente carta.”
Aporta documento 4, que también figuraba adjunto a la reclamación, escrito en el que
la reclamada, en fecha 20/06/2019, indica a reclamante que tiene él los datos de sus
sistemas y que debido al tamaño sugiere el modo para entregar los mismos,
El documento 5 que aporta es un escrito de la reclamada sobre la intromisión en la
cuenta de correo de un empleado de la reclamada, hechos que fueron denunciados
por la reclamante. Comenta las reuniones mantenidas con la reclamante sobre el
asunto.
Manifiesta que la reclamada incumplió un acuerdo de comercialización y reservas y
cuando “rescindimos aquel contrato, “ellos nos cancelaron el acceso a los servidores,
lo que derivó en la finalización del contrato de mantenimiento informático”. Adjuntan
documento 6 formato mp3, un archivo sonoro de 2,25 minutos con una conversación
entre dos personas, el que llama que pertenece a los hoteles y el llamado. El que lla-
ma indica que se han quedado sin acceso informático y la otra parte expone que obe-
dece ordenes, el que llama habla de perjuicios a la empresa y clientes y explica que se
les ha cancelado el contrato de reserva, de comercialización, no el de informática, y
que no pueden hacer esto. La otra parte dice que probablemente se vuelva a reactivar,
si el recibe la orden.
3) A reclamada y reclamante, que tipo de datos de carácter personal se gestionaban
por la reclamada, que periodos abarcaban y de cuantos hoteles.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/20
Reclamante indica que: “Nacionalidad, nombre y apellido, dirección postal, teléfono
móvil, e mail y fecha de nacimiento”
El Administrador concursal de la reclamada indica que le consta que “meses anterio-
res a la declaración del concurso, 28/07/2020, la empresa ya no tenía actividad algu-
na, ni había trabajadores en la misma”, y que no tiene información de las preguntas
planteadas, intentando obtenerlas del que fue director (al que identifica) del departa-
mento de IT hasta 31/12/2018 (es decir cuando se producen los desacuerdos y la
cuestión del retorno de los datos no estaba vigente) y contesta que eran datos de
clientes, conteniéndose nacionalidad, nombres, direcciones números de teléfonos, co-
rreos electrónicos, y en ciertos casos fechas de nacimiento y estado civil, para cinco
hoteles que identifica. Los datos almacenados lo fueron desde 2012.
4) A reclamante y reclamada, si el reclamado dictaba ordenes e instrucciones sobre
los tratamientos de datos de carácter personal que se gestionaban a través de los ser-
vidores, copia de alguna. Y si no tuvo antes problemas con cuestiones de las copias
de seguridad, accesos etc.
Manifiesta reclamante que aporta documento 7, comunicación sobre instrucciones so-
bre tratamiento de los datos que SIGNALLIA “nos indica a nosotros el 20/06/2019”,
que ya figura comentada en los presentes antecedentes.
Reclamada indica que el acceso a datos se realizó únicamente en base a necesidad
de conocerlos. En 2017 los datos de “marketing del cliente se migraron al sistema en
nube “Salesforce” y las reservas y sistemas PMS a “SIHOT” (sistema de gestión hote-
lera) almacenado en un entorno virtual en servidores de Oracle, y no hubo problemas
con la copia de seguridad o el acceso.
5) A reclamada y reclamante, ¿De quién eran titularidad los servidores en los que la
reclamada almacenaba y gestionaba la información del reclamante, y porque motivos
figura que el reclamante le pidió a la reclamada el traslado de los mismos?
Reclamante indica que eran de su titularidad y que “por eso pidió su traslado” Aporta
un correo interno en el que el 14/05/2019 el director financiero le comunica a XX (alta
responsable de la reclamante) un listado con descripción de activos, años de compra y
precio, incluyendo servidores de los que se dice tienen facturas subrayados en verde,
y otros que “podemos acreditar que lo compramos nosotros”.
Reclamada manifiesta que era propietaria de los servidores, y que el resto no puede
contestar por estar de baja médica en ese momento.
6) A reclamante y reclamada, si los equipos informáticos que figuran en la hoja “infor-
me de equipos “eran titularidad del reclamado y donde se ubicaban físicamente” y que
uso se les daba.
Reclamante indica que eran de su titularidad, y estaban ubicados según refiere, en dis-
tintos hoteles, hasta cuatro, más la central, identificados por sus siglas. Adjuntan docu-
mento 8 que relacionan equipos y facturas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/20
Reclamada manifiesta que no conoce la hoja que se cita, pero “SIGNALLIA poseía y
administraba equipos tanto localmente en sus oficinas como en las salas de servido-
res, pero también en las salas de servidores ubicadas en cada uno de los hoteles.”
7) A reclamante y reclamada, motivo por el que al menos una de las copias de segu-
ridad no estaba disponible por la propia reclamante. Si actualmente tienen contratados
servicios similares y si han variado su modo de disponer de los accesos a ficheros y
bases de datos.
Manifiesta al reclamante que en el contrato de arrendamiento de servicios de
1/07/2011 en la cláusula primera, tres, se establecía como tarea cubierta por el presta-
tario las copias de seguridad, la gestión de la política de copias de seguridad y la cus-
todia de las mismas.
“Actualmente tenemos servidores propios y también servicios contratados a empresas
que nos ofrecen diferentes productos, frente a los que nosotros contamos con creden-
ciales que nos permiten llevar la gestión de los mismos”.
“Contamos con una red propia y todos los equipos tanto de los hoteles como de la
central cuentan con cuentas administradoras” de la reclamante.
“Ahora contamos con un departamento interno de IT propio de la empresa, credencia-
les administradoras de los equipos, red propia gestionada por el departamento, figura-
mos como personas autorizadas ante las empresas que nos prestan servicios, creden-
ciales para poder gestionar usuarios, contraseñas, perfiles, correos etcétera”.
Reclamada indica que no ha obtenido información sobre la cuestión, no obstante “SIG-
NALLIA dejó de pagar las facturas de Salesforce meses antes de la declaración del
concurso “
8) A reclamante y reclamada, como funcionaba con el reclamante el aspecto al que se
refiere en la reclamación de las claves o contraseñas, en algunos puntos se refieren a
“la contraseña de administrador que nos permita operar con nuestros equipos informá-
ticos” que era lo que permitía dicha clave, quien hacia uso de la misma por parte de la
reclamada o en la reclamante y, quien cambiaba y cada cuando tiempo se cambiaba
esta clave y por quien. Cuál era el sentido de que la clave de los equipos estuviera en
poder del encargado de tratamiento.
Manifiesta reclamante que la clave de administrador referida a ordenadores permitiría
realizar cambios en equipos como instalar aplicaciones, cambiar configuraciones de
red y, en general, cualquier cambio que no debería poder realizar un usuario normal en
un equipo corporativo por cuestiones de funcionamiento y-o seguridad.
La clave de administrador referida a los servidores con el control de usuarios y contra-
señas corporativos permitiría crear usuarios nuevos, borrarlos, bloquearlos, asignarlos
a un complejo u otro, restablecer contraseñas cuando las olvidan etc.
Las claves administradoras de los sistemas de red permiten aplicar cambios de red,
crear subredes, gestionar Wi-Fi, habilitar puestos de red nuevos, monitorizar la red
para ver si hay problemas de seguridad etc.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/20
“Antes se dependía por completo en todos y cada uno de los sistemas e incluso en to-
dos y cada uno de los servicios aun siendo de terceros también, dado que los que
contaban con las claves de esos servicios y constaban como personas autorizadas
tampoco eran de EXCEL HOTELS AND RESORTS SA.
Reclamada indica que, dentro del protocolo de seguridad, cada usuario tenía sus pro-
pias contraseñas que se vieron obligados a cambiar al menos cada tres meses.
9) A reclamante y reclamada: Informe si figura pendiente algún asunto judicial relacio-
nado con esta reclamación o ha recaído algún fallo sobre responsabilidad, indemniza-
ción etc. sobre estos hechos, con copia del fallo. En la reclamación figuraba una de-
nuncia contra la reclamada o con eventuales deudas incluidas en el concurso de
acreedores de la reclamada
Reclamante indica que aparte de que su crédito se halla “reconocido” en el concurso
de acreedores, no hay ningún otro asunto pendiente, y reclamada indica que no ha re-
cibido ninguna notificación judicial relacionada con el asunto.
10) A reclamante, y reclamada, se aprecia que se inició un proceso de intento de en-
trega de los datos que la reclamada manejaba de la reclamante. Se desea conocer si
finalmente se entregan los datos, con acreditación de lo entregado, y fecha.
Reclamante indica que la entonces administradora de la reclamante “firmó un recibí de
un disco duro, pero pendiente de confirmación y verificación que nunca se produjo
porque faltaba información”. Aporta documento 9 en el que XX, alta responsable de la
reclamante envía escrito a reclamada, de 25/07/2019, indicando que confirma que ha
recibido el disco duro con los datos que eran conservados por la reclamada y que ha
de comprobar y verificar que todos los datos están y se mandaría la confirmación a la
reclamada de que todos los datos se han transferidos satisfactoriamente.
Aportan documento 10 que es un correo interno de 26/07/2019 en el que un empleado
le indica a XX “necesitamos saber con qué herramienta se han cifrado los datos y al-
gunos detalles técnicos que supuestamente “iban a mandarnos en un e mail”, y aña-
den la impresión de pantalla de una conversación por “whatsapp entre nuestro infor-
mático y el de la reclamada”, en el que dice “tengo el disco duro externo y veo que hay
un fichero de 3tb sin extensión. Entiendo que será cifrado”, y pregunta con que herra-
mienta se cifró. La otra parte pregunta si no le entregaron los detalles, a lo que respon-
de, “solo disco duro y contraseña”, a lo que la otra parte replica que tiene que hablar
con otra persona, todo tiene que ser a través de él.
Reclamada indica que no ofrece información sobre este punto, “al no formar parte de
este proceso”
DÉCIMO: Con fecha 6/07/2021, se formuló propuesta de resolución, con el literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione a
SIGNALLIA MARKETING DISTRIBUTION, S.A., con CIF A76539030, por una
infracción del artículo 28.3.g) del RGPD, de conformidad con el artículo 83.4 b) del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/20
RGPD, y el artículo 74.k) de la LOPDGDD, una multa de 100.000 euros, de
conformidad con el artículo 83.2.a) del RGPD y 76.2.b) de la LOPDGDD.) “
No se recibieron alegaciones en el plazo otorgado para realizarlas.
HECHOS PROBADOS:
1) La reclamante, que administra la gestión de cuatro hoteles, manifiesta en su
reclamación que su empresa “se ha visto afectada por la mala praxis de la reclamada
al extinguir un contrato de prestación de servicios y negarnos el acceso a nuestros
propios servidores, al acceso de nuestras claves, además de negarse a devolvernos
todos los datos de nuestra entidad ocasionando graves daños a nuestros sistemas, a
nuestro personal, además de grandes daños económicos al verse paralizado todo
nuestro sistema de trabajo” Los datos personales que se gestionaban por la reclamada
eran los de :”Nacionalidad, nombre y apellido, dirección postal, teléfono móvil, e mail y
fecha de nacimiento”
2) La reclamante, (antes denominada SILVERPOINT VACATION SOLUTIONS SA)
suscribió el 1/07/2011 contrató con la reclamada el arrendamiento de servicios de
prevención, mantenimiento y asesoramiento de equipos informáticos en el entorno de
las telecomunicaciones y la informática, con fines de asistir en necesidades operativas
y funcionamiento. Como cláusulas, se significan las más importantes:
-Objeto: Prestación de servicios de mantenimiento preventivo y correctivo de equipos
informáticos del cliente, que se relacionan en ANEXO 1 en las redes de
telecomunicaciones. En el servicio de soporte prestado incluía los problemas de
acceso a la red de todos los equipos informáticos, el acceso remoto a e mail
corporativo, o el acceso adecuado a fichero y programas (clausula primera 1.2),
gestionar la política de copias de seguridad y custodiar las mismas y actuar como
interlocutor en todos los aspectos técnicos con los diferentes proveedores de servicios
de telecomunicación. El servicio se prestaría 24/365.
En el contrato, la tercera clausula prevé que la duración del contrato inicialmente fue
por dos años, hasta 30/06/2013, con prorrogas tácitas por periodos de un año, si no
hay denuncia con 30 días de antelación a la fecha de vencimiento que corresponda.
También se prevé la resolución por incumplimiento de alguna de las estipulaciones,
preavisando la parte cumplidora a la otra con cinco días.
En la cláusula 12ª añade: resolución del contrato: “cualquiera de las partes podrá dar
por terminado el presente contrato en cualquier momento de su duración mediante
comunicación escrita a la otra parte con una antelación no inferior a dos meses de la
fecha de terminación interesada. Como causas de resolución se indican además de
las generales del código de comercio y civil, “las derivadas del incumplimiento por
parte del cliente de las obligaciones contraídas en virtud del contrato”
La cláusula 11ª titulada: “Protección de Datos”, señala:
“Como consecuencia del presente contrato para la ejecución del mismo, el prestatario
tendrá acceso a datos del cliente de carácter personal que se hallan sujetos al
régimen legal previsto por LOPD y su normativa de desarrollo. A tales efectos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/20
cumplimiento de lo dispuesto en el artículo 12 de la LOPD, el prestatario
expresamente manifiesta y se obliga a utilizar y tratar los datos con el único y
exclusivo objeto de cumplir el presente contrato siguiendo en todo caso las
instrucciones recibidas del cliente. Expresamente se abstendrá de dar a los datos
cualquier uso distinto al acordado y en especial se abstendrá de alterarlos, utilizarlos
para su propio interés empresarial, o comunicarlos o permitir el acceso de terceros a
los mismos ni siquiera para su conservación. En el supuesto de que tuviera que
comunicar los datos a un tercero para el desarrollo de este contrato, el prestatario se
lo comunicará al cliente para que éste suscriba un contrato con dicho tercero.
Observar la máxima confidencialidad de reservas respecto de los datos que le sean
facilitados por el cliente con respecto al desarrollo del objeto del presente contrato
comprometiéndose a no desvelar ninguna tercera persona ninguno de estos datos, así
como cualquier otra información que se hubiera facilitado respecto a la compañía. A
devolver al cliente, una vez concluida la prestación de servicios objeto del presente
contrato todos los documentos y archivos en los que se hallan reflejados todos o
algunos de los datos cualquiera que sea su soporte o formato, así como las copias de
estos.”
-cláusula novena: “niveles de cumplimiento de los servicios”: El cliente determinará la
organización de los servicios a prestar dictando aquellas normas genéricas necesarias
para un normal y óptimo ejercicio de los servicios, quedando en todo caso a favor del
prestatario la facultad de dirección y coordinación del servicio y del personal
encargado de la prestación del mismo.”
3) En documento 1 de la reclamación, la reclamante pide a la reclamada el
29/04/2019 como “instrucción del contrato”, “que como les hemos puesto de
manifiesto reiteradamente”, “es nuestra intención cambiar el lugar en el que se
encuentran almacenados los servidores de nuestra compañía, de forma que pasen a
estar ubicados en nuestras oficinas centrales” “a día de hoy vienen haciendo caso
omiso a nuestra solicitud”, anunciando que si no ponen a su disposición los servidores,
denunciaran penalmente. La reclamante no aporta prueba de que se hubiera
entregado a la reclamada.
4) Las partes por desacuerdos, deciden resolver su relación. Figura un escrito de
reclamada, documento 3, de ***FECHA.3, que indica que, si no se le abona lo que se
le debe, rescindirá el contrato con fecha efectos ***FECHA.2, respondiendo la
reclamante a la reclamada en escrito de ***FECHA.4 que la contraparte les debe una
cantidad mayor- superior a 10 millones de euros- en documento 3-1, titulado
contestación a la carta de ***FECHA.3. Le informa que han interpuesto una demanda
contra ellos y le indica que han incumplido la “obligación de poner a disposición de la
reclamante los servidores de su propiedad, cuestión que está causando un grave
perjuicio a la sociedad y se niegan a facilitar la contraseña de administrador que nos
permita operar con nuestros equipos informáticos cuestión que supone un
incumplimiento del citado contrato”.
5) La reclamada tenía acceso a los servidores de la reclamante y así se deriva
también de las actuaciones de investigación hechas por la reclamada con objeto del
intento de estafa en el hackeo de la cuenta de correo de un empleado de la
reclamante, que esta puso en conocimiento de la Policía en fecha 23/05/2019. En esas
investigaciones colaboró la reclamada, siendo a la vez denunciada por la reclamante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/20
posteriormente ante la Policía, el 7/06/2019, por mala praxis profesional y estafa, sin
más documentación que revele los motivos. Se desconoce el resultado al no haber
manifestado nada las partes, tan solo en pruebas comunicaron que no tienen
pendencia judicial por ninguna cuestión entre ellas, salvo la inclusión de créditos de la
reclamante en el concurso de la reclamada.
6) El representante de la reclamada indicó que esta “poseía y administraba equipos
tanto localmente en sus oficinas como en las salas de servidores, pero también en las
salas de servidores ubicadas en cada uno de los hoteles.”
7) La reclamante aporta una amplia lista de equipos informáticos que estaban
ubicados en distintos hoteles que administraba la reclamada, así como de servidores,
que acredita son de su titularidad que se gestionaban dentro del contrato de encargo
de tratamiento.
8) En documento 6, de 13/06/2019, la reclamada le indicó a la reclamante :“petición de
datos en base a los derechos arco “”Tras transcurrir el plazo legal de 30 días
establecido en la carta entregada por día en nuestras oficinas el pasado 14/05/2019
hemos accedido a facilitar los datos que nuestra compañía mantiene de EXCEL
HOTELES Y RESORTS SA.” “Dado el volumen de los mismos y por razones técnicas
internas de SIGNALLIA dicha información se le pondrá a su disposición 10 días a
contar desde el envío de la presente carta”. “
9) El 14/06/2019, la reclamante, en un escrito le indica a la reclamada: “ha pasado el
tiempo del plazo de respuesta del derecho de acceso” que la reclamante interpuso el
14/05/2019 a la reclamada, y a que sigue sin entregar los datos ni devolver los
servidores ni facilitar las claves de acceso para poder acceder al sistema, y que el
incumplimiento ha supuesto un grave perjuicio, comunicando que interponen denuncia
ante la AEPD
10) Con fecha 20/06/2019, la reclamada se dirige a la reclamante indicándole el modo
de proceder para que se le entregue la copia de los datos (doc. 8 de la reclamación),
“entregando un disco duro que tardará en grabar los datos dos días”. Se desprende de
los correos de la reclamante, que el 1/07/2019 sus empleados se dirigieron a la sede
de la reclamada para intentar recuperar los datos y no se les admitió dejar el disco
duro para comenzar el proceso so pretexto de que no estaba el responsable. A fecha
26/07/2019, según documento 10 aportado en pruebas subsistían problemas con los
datos titularidad del reclamante.
11) La reclamada estuvo un tiempo, sin posibilitar a la reclamante el acceso a sus
datos, sus sistemas y sus servidores. La reclamante en su reclamación señala que
desde 7/06/2019, y lo reitera en algún escrito posterior, como el de 14/06/2019, de que
no tenía acceso a los datos, afectando a la contabilidad, facturación, declaración
mensual de impuestos y facturas entre otros. Adicionalmente, la reclamada fue
retrasando la entrega de datos a devolver a la reclamante por motivos ajenos a la
reclamante. La reclamante aporta en pruebas un archivo sonoro en el que se escucha
a un empleado de la parte reclamante que manifiesta que se han quedado sin acceso
informático y la otra parte expone que obedece ordenes, de “C.C.C.”, persona que
figura en algunas firmas de escritos de la reclamada. El que llama habla de perjuicios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/20
a la empresa y clientes y explica que se les ha cancelado el contrato de reserva, de
comercialización, no el de informática, y que no pueden hacer esto. La otra parte dice
que probablemente se vuelva a reactivar, si el recibe la orden. La reclamante no
señala fecha o periodo en que podrían haber estado sin servicio y en el escrito de
reclamación explica los daños que el no acceso le ha provocado.
12) La reclamante, aunque firmó la recepción de un disco duro cifrado con información
de sus datos entregado por la reclamada, quedó pendiente de confirmación y
verificación que “nunca se produjo porque faltaba información”. Se acredita porque la
reclamante le puso un correo a la reclamada el 25/07/2019, indicando que debía
verificar que estuviera todo y le mandaría una confirmación de que todo estaba bien.
Como se aprecia en documento 10 de su respuesta en pruebas por reclamante,
26/07/2019, al día siguiente envía un correo electrónico a reclamada que revela que
los datos están cifrados y no se les ha mandado la herramienta. En la copia de
impresión de pantalla de WhatsApp entre las partes sobre la ausencia de los detalles
necesarios para extraer los archivos, la reclamada remite de nuevo al superior.
13) En el BOE de 24/10/2020, aparece publicado un edicto del Juzgado de lo Mercantil
núm. 2 de ***PROVINCIA.1, en el que se indica la referencia de la reclamada incursa
en el procedimiento concursal núm. XXX, en el que se dictó auto de XXXX, rectificado
el 13/10/2020, declarando el concurso de la mercantil SIGNALLIA MARKETING
DISTRIBUTION S.A., CIF A76539030. El Administrador concursal señala que “meses
anteriores a la declaración del concurso, 28/07/2020, la empresa ya no tenía actividad
alguna, ni había trabajadores en la misma”.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales RGPD
reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de
la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los
derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de
Protección de Datos es competente para resolver este procedimiento.
II
El RGPD se refiere -en el apartado 8 de su artículo 4-, al encargado del tratamiento o
encargado como “la persona física o jurídica, autoridad pública, servicio u otro
organismo que trate datos personales por cuenta del responsable del tratamiento”
(aquí la reclamada), y artículo 4.7 del RGPD “responsable del tratamiento» o
«responsable»: la persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si
el Derecho de la Unión o de los Estados miembros determina los fines y medios del
tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados
miembros”, aquí el reclamante, que claramente se aprecia que estableció ordenes
respecto a sus servidores, se le interrumpió el servicio y no se le retornaron los datos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/20
siendo que todos ellos realmente le pertenecen a el por la gestión del negocio, su
recogida y tratamiento de los que son sus directos responsables el reclamante.
El tratamiento por el encargado se regirá por un contrato o acto u otro acto jurídico con
arreglo al derecho de la Unión o de los Estados miembros que vincule el encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad
del tratamiento, el tipo de datos personales y categorías de interesados, y las obliga-
ciones y derechos del responsable (28.3 RGPD). En consecuencia, la figura del encar-
gado del tratamiento obedece a la necesidad de dar respuesta a fenómenos como la
externalización de servicios por parte de las empresas y otras entidades, de manera
que en aquellos supuestos en que el responsable del tratamiento encomiende a un ter-
cero la prestación de un servicio que requiera el acceso a datos de carácter personal,
por éste acceso no pueda considerarse como un tratamiento distinto sino que sirve a
su responsable, realizándose las actuaciones por el encargado en nombre y por cuen-
ta del responsable, como si fuera este mismo quien lo lleva a cabo. El encargado debe
ofrecer garantías suficientes para aplicar medidas técnicas y organizativas apropiadas,
de manera que el tratamiento sea conforme con los requisitos del reglamento (art 28.1
RGPD).
A estos efectos, el titular de los datos no ejerce ni puede ejercer el derecho de acceso
a unos datos que son suyos, de los que es responsable el directamente, al haberlos
recogido y al establecer los datos que recoge y los fines a los que los destina. El
derecho de acceso es un derecho personalísimo del titular de los mismos, que no se
ha de confundir con el responsable del tratamiento y el poder que ostenta sobre los
mismos. Cuando un responsable firma un contrato de encargo de tratamiento con un
tercero, lo que se hace es instrumentar un negocio jurídico que debe cumplir ciertos
requisitos para entender que los datos son tratados no por un tercero, sino por un
tercero por cuenta del responsable, por lo que no se produce un traspaso,
transferencia o cesión de datos a un tercero ajeno, sino que continúan en el círculo del
responsable.
También y por ello, existe la facultad del responsable y la obligación específica para el
encargado, cuando reciba una orden de ajustarse a la misma según se desprende del
artículo 29 del RGPD: “El encargado del tratamiento y cualquier persona que actúe
bajo la autoridad del responsable o del encargado y tenga acceso a datos personales
solo podrán tratar dichos datos siguiendo instrucciones del responsable, a no ser que
estén obligados a ello en virtud del Derecho de la Unión o de los Estados miembros”.
Ciertamente que como se ha dicho, las instrucciones del responsable del tratamiento
aún pueden dejar cierto grado de discreción sobre cómo servir mejor a los intereses
del responsable del tratamiento, permitiendo que el encargado del tratamiento elija los
medios técnicos y organizativos más adecuados. En la práctica, si un responsable del
tratamiento contrata a un encargado del tratamiento para que lleve a cabo el
tratamiento en su nombre, a menudo significa que el encargado del tratamiento podrá
tomar determinadas decisiones por sí mismo sobre cómo llevar a cabo el tratamiento.
Se reconoce que puede existir cierto margen de maniobra para que el encargado del
tratamiento también pueda tomar algunas decisiones en relación con el tratamiento.
Aquí la reclamada tiene un papel técnico por cuanto la toma de datos de clientes de
hotel se lleva a cabo por el reclamante que los introduce en el sistema, sirviendo la
reclamada los medios técnicos con material aportado por la misma reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/20
Dado que el tratamiento debe realizarse en nombre de un responsable del tratamiento,
pero no bajo su autoridad o control directo, actuar “en nombre de” significa servir a los
intereses de otra persona y recuerda el concepto jurídico de “delegación”. En este
caso, no se atendieron las instrucciones de cambios de servidor, se dejó sin acceso a
los sistemas deliberadamente por la reclamada y no se atendieron en tiempo la
devolución de los datos retrasando y poniendo condiciones a unos datos propios del
responsable por cuestiones no justificadas.
Es el responsable, en este caso el reclamante, el que decide poner en manos del
encargado los datos para que sobre ellos lleve a cabo las tareas acordadas en el
contrato. En este caso, actividades de carácter técnico de telecomunicaciones,
servidores y accesos a sistemas y su almacenamiento. Incluso utilizando la reclamada
su experiencia y discrecionalidad en cuestiones técnicas, el control de los datos reside
en la reclamante.
En el presente caso, se trata de una situación que afecta a la reclamante en el
desarrollo de sus actividades con los datos de los que es responsable ya que pese a
sus requerimientos, la reclamada no ha entregado los ficheros de datos personales ni
los servidores, dificultando e incluso imposibilitando la realización de la actividad
ordinaria de gestión del tráfico mercantil habitual de su actividad.
En definitiva, la infracción que se acredita y se imputa a la reclamada es la del artículo
28.3.g) que indica:
“3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la finali-
dad del tratamiento, el tipo de datos personales y categorías de interesados, y las obli-
gaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en par-
ticular, que el encargado:
g) a elección del responsable, suprimirá o devolverá todos los datos personales una
vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias
existentes a menos que se requiera la conservación de los datos personales en virtud
del Derecho de la Unión o de los Estados miembros”.
III
Determina el artículo 83.4 del RGPD:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11,
25 a 39, 42 y 43;
El artículo 74 de la LOPDGDD, indica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/20
“Se consideran leves y prescribirán al año las restantes infracciones de
carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del
artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
“k) El incumplimiento por el encargado de las estipulaciones impuestas en el
contrato o acto jurídico que regula el tratamiento o las instrucciones del responsable
del tratamiento, salvo que esté legalmente obligado a ello conforme al Reglamento
(UE) 2016/679 y a la presente ley orgánica o en los supuestos en que fuese necesario
para evitar la infracción de la legislación en materia de protección de datos y se
hubiese advertido de ello al responsable o al encargado del tratamiento”
En modo alguno se finalizó con la entrega de los datos que titularidad de la
reclamante, no se acredita haberse hecho efectiva, según reconoce la reclamada que
nunca se facilitó finalmente la totalidad de los datos a pesar del tiempo transcurrido.
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá
de todos los siguientes poderes correctivos indicados a continuación:
i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las circunstancias
de cada caso particular.
IV
La determinación de las sanciones que procede imponer en el presente caso exige ob-
servar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectiva-
mente, disponen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas admi-
nistrativas con arreglo al presente artículo por las infracciones del presente Reglamen-
to indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, propor-
cionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa admi-
nistrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que ha-
yan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del trata-
miento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/20
f) el grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordena-
das previamente contra el responsable o el encargado de que se trate en relación con
el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indi-
rectamente, a través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “San-
ciones y medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario,
a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los
que existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda,
de las restantes medidas correctivas a las que se refiere el artículo 83.2 del
Reglamento (UE) 2016/679.”
Para la valoración de la sanción, se contenía en el acuerdo de inicio su valoración sin
perjuicio de la instrucción, y como cantidad por la infracción estimada, se consideraron
100.000 euros de sanción.
Se tuvo en cuenta:
-La perturbación en el desarrollo de las actuaciones de la reclamante de especial gra-
vedad al impedir operar con los datos (83.2.a RGPD) desde 7/06/2029, añadiéndose
que a 26/07/2019 tampoco se completa ni se acredita por la que lleva a cabo el trata-
miento por cuenta de la reclamante que cumpliera con dicha obligación ordinaria esta-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/20
blecida en los contratos de encargo de tratamiento, no considerándose pues entrega-
dos (art 83.2.a) del RGPD.
- La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales (art. 76.2 b LOPDGDD).
Se ratifican tras la instrucción y propuesta las citadas circunstancias y cuantía.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de la sanción cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER una multa de 100.000 euros, a SIGNALLIA MARKETING
DISTRIBUTION, S.A., con CIF A76539030, por una infracción del artículo 28.3.g) del
RGPD, de acuerdo con el artículo 83.4 b) del RGPD, y el artículo 74.k) de la
LOPDGDD, con las circunstancias concurrentes en los artículos 83.2.a) del RGPD y
76.2.b) de la LOPDGDD.
SEGUNDO: NOTIFICAR la presente resolución a SIGNALLIA MARKETING
DISTRIBUTION, S.A.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12,
mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento
que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00
0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección
de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a
su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/20
la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite
la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no
tuviese conocimiento de la interposición del recurso contencioso-administrativo en el
plazo de dos meses desde el día siguiente a la notificación de la presente resolución,
daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es